CVE-2026-104994

NiskieCVSS 2.5

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Trivy przed wersją 0.71.0 pozwala na directory traversal w funkcjach systemu plików Terraform, gdy próbują one uzyskać dostęp do ścieżek powyżej katalogu głównego skanowania. Ryzyko występuje przy skanowaniu misconf na niezaufanym wejściu (np. w pull requeście strony trzeciej zawierającym konfigurację Terraform), jeśli wrażliwe dane znajdują się pod tymi niezamierzonymi ścieżkami.

Ocena ryzyka

Atakujący może spowodować, że Trivy odczyta i ujawni w wynikach skanowania wrażliwe dane znajdujące się poza skanowanym katalogiem. Może to prowadzić do wycieku sekretów, kluczy lub innych poufnych informacji z systemu plików.

Rekomendacja

Zaktualizuj Trivy do wersji 0.71.0 lub nowszej. Do czasu aktualizacji unikaj uruchamiania skanowania misconf na niezaufanych konfiguracjach Terraform, zwłaszcza pochodzących z zewnętrznych pull requestów.

Inne podatności w Trivy

CVE-2026-63328Średnie
Trivy, skaner bezpieczeństwa, przed wersją 0.72.0 używa metadanych manifestu wtyczki do konstruowania ścieżek w ~/.trivy/plugins bez ograniczania nazw wtyczek do tego katalogu, co pozwala atakującemu, który przekona użytkownika do instalacji lub uruchomienia złośliwej wtyczki, zapisać manifest i binarkę wtyczki w dowolnych ścieżkach zapisywalnych przez użytkownika.

Oryginalny opis (angielski, źródło NVD)

Trivy before 0.71.0 allows directory traversal in Terraform filesystem functions when they try to access pathnames above the scan root. The risk occurs when using misconf scanning on untrusted input (e.g., upon a third-party pull request that contains a Terraform configuration), if sensitive data can be found at those unintended pathnames, and an adversary can then view a sensitive data value within scan output.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS