发布日期：2026-01-22
更新日期：2026-03-04

受影响系统：

sigstore sigstore framework <=1.10.3

描述：

---

CVE(CAN) ID: CVE-2026-24137

sigstore framework是sigstore开源的一个go语言库。
sigstore framework 1.10.3及之前版本存在路径遍历漏洞，该漏洞源于该语言库的TUF客户端在构建文件系统路径时未验证最终路径是否超出缓存基目录范围，攻击者可利用该漏洞实现未授权的信息修改。

<**>

建议：

---

厂商补丁：

sigstore
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
https://www.sigstore.dev/

浏览次数：147
严重程度：0（网友投票）