Към съдържанието
Търсене

CVE-2026-39395: sigstore cosign, логическа грешка

4.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Cosign provides code signing and transparency for containers and binaries. Prior to 3.0.6 and 2.6.3, cosign verify-blob-attestation may erroneously report a "Verified OK" result for attestations with malformed payloads or mismatched predicate types. For old-format bundles and detached signatures, this was due to a logic flaw in the error handling of the predicate type validation. For new-format bundles, the predicate type validation was bypassed completely. This vulnerability is fixed in 3.0.6 and 2.6.3.

Засегнати продукти

  • sigstore cosign: >= 3.0.0, < 3.0.6; < 2.6.3

Вид слабост

История

  • 7 април 2026 Публикувано

Други уязвимости в sigstore cosign

Първоизточници

CVE-2026-39395: sigstore cosign, логическа грешка | freedomonline.bg