CVE-2026-63328 in Trivy
Zusammenfassung
von VulDB • 18.08.2026
Trivy ist ein Security Scanner. Vor Version 0.72.0 wird die Plugin-Manifest-Metadaten von pkg/plugin/manager.go verwendet, um Pfade unter ~/.trivy/plugins zu konstruieren, ohne Pluginnamen auf dieses Stammverzeichnis einzuschränken. Dies ermöglicht es einem Angreifer, der einen Benutzer dazu bringt, ein bösartiges Plugin zu installieren oder auszuführen, das Manifest und die Plugin-Binärdatei in beliebige vom Benutzer beschreibbare Pfade zu schreiben; Plugins aus dem offiziellen Trivy-Plugin-Index sind davon nicht betroffen. Dieses Problem wurde in Version 0.72.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.