Към съдържанието
Търсене

CVE-2026-63328: aquasecurity trivy, обхождане на път

6.8

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се локално, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Trivy is a security scanner. Prior to 0.72.0, plugin manifest metadata is used by pkg/plugin/manager.go to construct paths under ~/.trivy/plugins without confining plugin names to that root, allowing an attacker who persuades a user to install or run a malicious plugin to write the manifest and plugin binary to arbitrary user-writable paths, while plugins from the official Trivy plugin index are not affected. This issue is fixed in version 0.72.0.

Засегнати продукти

  • aquasecurity trivy: < 0.72.0

Вид слабост

История

  • 18 август 2026 Публикувано

Други уязвимости в aquasecurity trivy

Първоизточници

CVE-2026-63328: aquasecurity trivy, обхождане на път | freedomonline.bg