CVE-2026-63328
ŚrednieCVSS 6.8Streszczenie
Trivy, skaner bezpieczeństwa, przed wersją 0.72.0 używa metadanych manifestu wtyczki do konstruowania ścieżek w ~/.trivy/plugins bez ograniczania nazw wtyczek do tego katalogu, co pozwala atakującemu, który przekona użytkownika do instalacji lub uruchomienia złośliwej wtyczki, zapisać manifest i binarkę wtyczki w dowolnych ścieżkach zapisywalnych przez użytkownika.
Ocena ryzyka
Użytkownik instalujący złośliwą wtyczkę może pozwolić atakującemu na zapis plików w dowolnych lokalizacjach, co może prowadzić do przejęcia konta lub modyfikacji systemu.
Rekomendacja
Zaktualizuj Trivy do wersji 0.72.0 lub nowszej, która zawiera poprawkę ograniczającą ścieżki wtyczek do katalogu ~/.trivy/plugins.
Oryginalny opis (angielski, źródło NVD)
Trivy is a security scanner. Prior to 0.72.0, plugin manifest metadata is used by pkg/plugin/manager.go to construct paths under ~/.trivy/plugins without confining plugin names to that root, allowing an attacker who persuades a user to install or run a malicious plugin to write the manifest and plugin binary to arbitrary user-writable paths, while plugins from the official Trivy plugin index are not affected. This issue is fixed in version 0.72.0.