SimpleWebAuthn: Registration verification does not sufficiently ensure that attestation certificates chain to a trust anchor — GHSA-6HXQ-P678-4HR2

Zusammenfassung

## Summary `validateCertificatePath()` does not verify that an attestation's certificate chain actually terminates at a configured trust anchor. When walking the chain it stops at the first self-signed certificate it finds (which could be user-supplied), and exits early. This happens before the configured Apple/Google/etc trust anchor (which is concatenated to the end of the chain) is reached. A user can therefore…

Zeitlicher Verlauf

Von der Quelle veröffentlicht

2026-09-04

Risikokontext

• Gemeldeter Schweregrad oder Risikowert: niedrig.
• Gemeldeter CVSS-Wert: 2 von 10.
• Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: @simplewebauthn/server.

Produkt

npm: @simplewebauthn/server

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle

Nachweise und Herkunft

Kanonische Advisory-ID

GHSA-6HXQ-P678-4HR2

Quelle

GitHub

Vendor

GitHub

Von der Quelle veröffentlicht

2026-09-04

Letzte Quellenaktivität

2026-09-04

Kuratiert von

hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.