GHSA-5xjx-3w67-w9x9

CVSS 9.3 CRITICAL

pypi-publish action revocation of CA in the chain that Sigstore uses in Trusted Publishing and Digital Attestations for PyPI

Công bố: 2026-10-31
Cập nhật: 2026-10-31
Lần đầu thấy: 2026-10-31
Nguồn: GitHub Advisory, OSV.dev

Mô tả

Summary

The pypi-publish action versions before 1.14.2 used to bundle the emSign root CA trust store certificate through the certifi distribution. It has since been removed through the bundle and the new version no longer includes them.

Details

The certifi-provided TLS trust store is typically used by many projects in the Python ecosystem, including Sigstore that pypi-publish relies on for Trusted Publishing and Digital Attestations.

The external compromise is being tracked at https://emudhra.we-have-a-problem.com

Điểm và phân loại

CVSS: 9.3 CRITICAL v4.0
Nguồn điểm: GitHub Advisory
Mức độ (theo nguồn): CRITICAL
EPSS: —
CWE: CWE-295

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Ảnh hưởng

Package	Bản bị ảnh hưởng	Bản đã sửa
actions `pypa/gh-action-pypi-publish`	`<= 1.14.2`	`1.14.3`
actions `pypa/gh-action-pypi-publish`	`< 1.14.3`	`1.14.3`

Vì sao được giữ

CVSS 9.3 >= 8.0

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

OSV.dev · ID: GHSA-5xjx-3w67-w9x9