CVE-2026-48702

Rekor, system rejestru przejrzystości łańcucha dostaw, zawiera podatność na atak typu „bomba dekompresyjna” w funkcji `Package.Unmarshal()` dla plików APK. Atakujący może przesłać specjalnie spreparowany plik APK, który po dekompresji zajmuje ogromną ilość pamięci, powodując awarię serwera. Podatność dotyczy wersji od 0.3.0 do 1.5.1 i jest dostępna przez dwa nieuwierzytelnione endpointy.

Ryzyko polega na możliwości zdalnego wywołania błędu braku pamięci (OOM) w serwerze Rekor, co prowadzi do przerwania działania usługi (DoS). Atak nie wymaga uwierzytelnienia, a ograniczenia rozmiaru żądania nie eliminują w pełni zagrożenia ze względu na wysoki współczynnik kompresji.