目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-33481— syft 安全漏洞

一分钟漏洞结论

影响对象
anchore syft
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

syft是Anchore开源的用于从容器映像和文件系统生成软件物料清单 (SBOM) 的 CLI 工具和 Go 库。 Syft 1.42.3之前版本存在安全漏洞，该漏洞源于扫描错误时未正确清理临时存储，可能导致临时存储耗尽。

CVSS 5.3 · Medium EPSS 0.52% · P42

可能的 ATT&CK 技术 1 AI

T1496 · Resource Hijacking
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-33481 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Syft improper temporary file cleanup
来源: CVE Program / CVE List V5
Vulnerability Description
Syft is a a CLI tool and Go library for generating a Software Bill of Materials (SBOM) from container images and filesystems. Syft versions before v1.42.3 would not properly cleanup temporary storage if the temporary storage was exhausted during a scan. When scanning archives Syft will unpack those archives into temporary storage then inspect the unpacked contents. Under normal operation Syft will remove the temporary data it writes after completing a scan. This vulnerability would affect users of Syft that were scanning content that could cause Syft to fill the temporary storage that would then cause Syft to raise an error and exit. When the error is triggered Syft would exit without properly removing the temporary files in use. In our testing this was most easily reproduced by scanning very large artifacts or highly compressed artifacts such as a zipbomb. Because Syft would not clean up its temporary files, the result would be filling temporary file storage preventing future runs of Syft or other system utilities that rely on temporary storage being available. The patch has been released in v1.42.3. Syft now cleans up temporary files when an error condition is encountered. There are no workarounds for this vulnerability in Syft. Users that find their temporary storage depleted can manually remove the temporary files.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
抛出异常的清理不恰当
来源: CVE Program / CVE List V5
Vulnerability Title
syft 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
syft是Anchore开源的用于从容器映像和文件系统生成软件物料清单 (SBOM) 的 CLI 工具和 Go 库。 Syft 1.42.3之前版本存在安全漏洞，该漏洞源于扫描错误时未正确清理临时存储，可能导致临时存储耗尽。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
anchore syft < 1.42.3 -

二、漏洞 CVE-2026-33481 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-33481 的情报信息

请登录查看更多情报信息。

CVE-2026-33481 补丁与修复 (3)

CVE-2026-33481 厂商安全公告 (1)

IV. Related Vulnerabilities

Same product: syft
Same vendor: anchore
Same weakness: CWE-460

V. Comments for CVE-2026-33481

暂无评论

发表评论