O gerenciador de plug-in da Trivy não valida totalmente os metadados do manifesto de um plug-in antes de usá-lo para construir caminhos de sistema de arquivos sob a raiz do plug-in (`~/.trivy/plug-ins`). Um plugin criado pode fazer com que Trivy escreva seus arquivos (o manifesto e o binário do plug- in baixado) fora da raiz do plug- in, para um local arbitrário que pode ser escrito pelo usuário que executa Trivy. Os plug-ins são binários de terceiros que Trivy baixa e executa, então a [documentação] do Trivy ( já aconselha a instalação de apenas plug- ins em que você confia. Este problema não muda o limite de confiança: a exploração requer que o usuário instale um plug- in malicioso em primeiro lugar. ## Configurações afetadas. A vulnerabilidade é ativada somente quando um usuário instala um plugin controlado pelo atacante, por exemplo através de `trivy plugin install ` ou `trivy plugin executar `. Um atacante tem que enganar um usuário para instalar um plug- in que ele criou, por exemplo, publicando- o ou recebendo uma fonte maliciosa colada em um fragmento de comando ou documentação.
Os plug-ins distribuídos através do índice oficial do plug- in Trivy não são afetados. Um usuário que instala um plug- in malicioso pode ter arquivos escritos fora da raiz do plug- in, para qualquer local que possa ser escrito pelo usuário que executa o Trivy. A vulnerabilidade não concede privilégios além do que aquele usuário já tem. Corrigido em Trivy ` 0.72.0 `. Os usuários devem atualizar para essa versão ou posterior.
Apenas instale plug- ins Trivy de fontes em que você confia. Os plug-ins do índice oficial do plug- in Trivy estão seguros. Veja a [documentação do plugin]( para detalhes. Relato pelo @fatihhcelik. Registro de aconselhamento: GHSA- 8 rc 5 - 4 fr 6 - 64 pw. Identificadores relacionados: CVE- 2026 - 63328.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 18 T 16: 32: 02.000 Z e lista a sua última modificação como 2026 - 08 - 18 T 16: 32: 02.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:H/SC:N/SI:N/África do Sul:N.
Software afetado e informações de versão: Vá pacote github.com/aquasecurity/trivy — ECOSYSTEM: introduzido 0, corrigido 0.72.0. Classificação e evidência: identificadores de fraqueza CWE- 22. O registro contém 4 suporte de referências nestes tipos: WEB, PACKAGE.