CVE-2026-42576 in apko
Sumário
de VulDB • 01/06/2026
apko permite que os usuários criem e publiquem imagens de contêiner OCI construídas a partir de pacotes apk. Antes da versão 1.2.7, a função DiscoverKeys em pkg/apk/apk/implementation.go realiza uma conversão de tipo (type-assertion) incondicional das chaves JWKS como *rsa.PublicKey, sem verificar o tipo da chave. Se o endpoint JWKS de um repositório retornar uma chave não RSA (por exemplo, EC), a conversão não verificada causa um panic e faz com que o apko falhe. Isso afeta qualquer fluxo de trabalho que inicialize o banco de dados APK e busque chaves do repositório. Este problema foi corrigido na versão 1.2.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.