PT-2026-23503 · Aqua Security · Trivy Vulnerability Scanner Vs Code Extension

Tzurielweisberg · Publicado 2026-03-05 · Atualizado 2026-03-12 · CVE-2026-28353

Positive Technologies (AI Summary) · Pt

CVSS v4.0

10

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Extensão Trivy Vulnerability Scanner para VS Code versão 1.8.12

Descrição A extensão Trivy Vulnerability Scanner para VS Code foi comprometida com código malicioso na versão 1.8.12, distribuída através do marketplace OpenVSX. Este código malicioso foi projetado para coletar e exfiltrar informações sensíveis utilizando um agente de codificação de IA local. O artefato comprometido foi removido do marketplace e nenhum outro artefato afetado foi identificado.

Recomendações Remova imediatamente a Extensão Trivy VSCode versão 1.8.12. Rotacione os segredos do ambiente.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-506

Identificadores relacionados

CVE-2026-28353

GHSA-8MR6-GF9X-J8QG

Produtos afetados

Trivy Vulnerability Scanner Vs Code Extension

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/28xxx/CVE-2026-28353.json · Exploit
• https://github.com/aquasecurity/trivy-vscode-extension/security/advisories/GHSA-8mr6-gf9x-j8qg · Nota
• https://twitter.com/botnewsnetwork/status/2031822228980134215 · Publicação no Twitter
• https://reddit.com/r/devops/comments/1rqmrhi/ve202628353_the_trivy_security_incident_nobody_is · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-28353 · Nota de Segurança
• https://twitter.com/CVEnew/status/2029654692133761133 · Publicação no Twitter
• https://twitter.com/secureu_in/status/2031932474067230915 · Publicação no Twitter
• https://twitter.com/vuln_tracker/status/2032072795900035258 · Publicação no Twitter
• https://twitter.com/engniiokai/status/2031656771144536169 · Publicação no Twitter
• https://twitter.com/win3zz/status/2031984284060545159 · Publicação no Twitter
• https://twitter.com/TweetThreatNews/status/2031626196174217589 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-28353 · Aviso do Fabricante