CVE-2026-22703

Cosign konteynerlər və binar fayllar üçün kodun imzalanmasını və şəffaflığını təmin edir. Versiya 2.6.2 və 3.0.4-dən əvvəlki versiyalarda, daxil edilmiş Rekor qeydi artefaktın heydestinə (digest), imzasına və ya açıq açarına istinad etməsə belə, Cosign paketini artefaktı uğurla təsdiqləmək üçün hazırlamaq mümkündür. Rekor qeydini yoxlayarkən, Cosign həm Rekor qeydinin imzasını təsdiqləyir, həm də artefaktın heydestini, istifadəçinin Fulcio sertifikatından və ya istifadəçi tərəfindən təqdim edilən açıq açarını və artefakt imzasını Rekor qeydinin məzmunu ilə müqayisə edir. Bu müqayisələr olmadan Cosign Rekordan gələn hər hansı cavabı etibarlı kimi qəbul edirdi. İstifadəçinin kimliyini və ya imzalama açarını ələ keçirmiş zərərli aktor, hər hansı ixtiyari Rekor qeydini daxil etməklə etibarlı Cosign paketi yarada bilər və bununla da istifadəçinin imzalama hadisəsini audit etməsinin qarşısını ala bilər. Bu problem 2.6.2 və 3.0.4 versiyalarında aradan qaldırılmışdır.