Anteriormente, o Apko verificou o hash da seção de controle (`.PKGINFO` etc.) contra o assinado `APKINDEX`, mas nunca verificou o hash da seção de dados (os arquivos de pacotes reais que são instalados). Um atacante que poderia comprometer um espelho, envenenar um cache ou MITM um pacote buscar pode substituir o conteúdo arbitrário do arquivo enquanto a verificação do hash do controle ainda passar. Registro de aconselhamento: GHSA- fpg 8 - 7664 - jc 5 q. Identificadores relacionados: CVE- 2026 - 54174.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 10 T 21: 43: 05.000 Z e lista a sua última modificação como 2026 - 07 - 10 T 21: 43: 05.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H.
Software afetado e informações de versão: Ir pacote chainguard.dev/apko — ECOSISTEM: introduzido 0, corrigido 1.2.9. Go pacote chainguard.dev/ melange — ECOSISTEM: introduzido 0, corrigido 0.50.4. Classificação e evidência: identificadores de fraqueza CWE- 345, CWE- 354. O registro contém 2 suporte de referências nestes tipos: WEB, PACKAGE.