Më 30 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-5xjx-3w67-w9x9 për një dobësi me rrezikshmëri kritike (CVSS 9.3) në paketën pypa/gh-action-pypi-publish të ekosistemit GitHub Actions.
Paketat e prekura
- pypa/gh-action-pypi-publish (GitHub Actions) — versionet e prekura:
<= 1.14.2; versioni me rregullim:1.14.3
Detaje
- Rrezikshmëria: Kritike (CVSS 9.3)
- CWE: CWE-295 (Improper Certificate Validation)
- Identifikuesit: GHSA-5xjx-3w67-w9x9
Përmbledhja zyrtare
pypi-publish: revokimi i autoritetit certifikues në zinxhirin që Sigstore përdor për Trusted Publishing dhe Digital Attestations në PyPI
Versionet e veprimit pypi-publish para 1.14.2 përfshinin certifikatën rrënjë të autoritetit certifikues emSign në paketën certifi. Kjo certifikatë është hequr nga paketa dhe versioni i ri i pypi-publish nuk e përfshin më.
Depoja e certifikatave të besuara TLS që ofron certifi përdoret gjerësisht nga projekte në ekosistemin Python, përfshirë Sigstore. Veprimi pypi-publish mbështetet te Sigstore për Trusted Publishing dhe Digital Attestations në PyPI, ndaj ndryshimi lidhet me zinxhirin e besimit që përdoret për këto funksione.
Komprometimi i jashtëm i lidhur me këtë çështje po ndiqet në https://emudhra.we-have-a-problem.com. Veprimi pypi-publish gjendet në https://github.com/marketplace/actions/pypi-publish.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin pypa/gh-action-pypi-publish, përditësojeni sa më shpejt në versionin 1.14.3 ose më të ri.
