何が起きたか
pypi-publish アクションの古い版は、certifi 経由で emSign のルート CA 証明書を TLS の信頼ストアに含めていました。この信頼ストアは、アクションが Trusted Publishing と Digital Attestations で使う Sigstore も利用しています。emSign 側の外部での侵害が報告されており、新しい版では該当する証明書が取り除かれています。
やること
ワークフローで使っている pypa/gh-action-pypi-publish を 1.14.3 以降に更新します。コミットハッシュで固定している場合は、ハッシュも新しい版のものに差し替えます。
出典
GitHub Advisory Database（GHSA-5xjx-3w67-w9x9）github.com英語 ↗pypa/gh-action-pypi-publish のセキュリティ勧告github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。