Foram identificadas várias falhas no comando `verify-blob` do cosign, nas quais o cosign verificava com sucesso um artefato quando a verificação deveria ter falhado. Essas falhas incluem:
- um pacote do cosign pode ser criado para verificar com sucesso um blob mesmo que o rekorBundle incorporado não faça referência à assinatura fornecida,
- ao fornecer sinalizadores de identidade, o e-mail e o emissor de um certificado não são verificados ao verificar um pacote Rekor, e a identidade do GitHub Actions nunca é verificada,
- fornecer um pacote Rekor inválido sem o sinalizador experimental resulta em uma verificação bem-sucedida,
- uma entrada inválida no log de transparência resultará em sucesso imediato na verificação.