CVE-2026-104994
Beschrijving NL
Trivy voor 0.71.0 staat mapdoorvoer toe in Terraform-bestandssysteemfuncties wanneer ze proberen toegang te krijgen tot padnamen boven de scanroot. Het risico treedt op bij het gebruik van misconf-scanning op niet-vertrouwde invoer (bijv. bij een pull-verzoek van een derde partij dat een Terraform-configuratie bevat), als gevoelige gegevens kunnen worden gevonden op die onbedoelde padnamen en een tegenstander vervolgens een gevoelige gegevenswaarde binnen de scanuitvoer kan bekijken.
Origineel (Engels) tonen
Trivy before 0.71.0 allows directory traversal in Terraform filesystem functions when they try to access pathnames above the scan root. The risk occurs when using misconf scanning on untrusted input (e.g., upon a third-party pull request that contains a Terraform configuration), if sensitive data can be found at those unintended pathnames, and an adversary can then view a sensitive data value within scan output.