CVE-2026-55092

Nome do Software Vulnerável e Versões Afetadas Trivy versões anteriores a 0.71.1

Description O Trivy confia inadequadamente na anotação org.opencontainers.image.title em um manifesto de artefato OCI, utilizando-a como o nome do arquivo de destino ao baixar conteúdo sem a devida validação ou sanitização. Esta falha de path traversal permite que um invasor forneça uma anotação manipulada que resolve para um caminho fora do destino pretendido. Se o Trivy for enganado para buscar um artefato controlado por um invasor, isso pode resultar na gravação do conteúdo da camada em um local arbitrário no sistema de arquivos do host, potencialmente permitindo a escalada de privilégios locais, persistência ou interrupção do serviço.

Recommendations Atualizar para a versão 0.71.1.