The python pip project has setuptools vendored in but it strips everything and only keeps pkg_resources #11091

noorul · 2026-08-13T15:09:12Z

noorul
Aug 13, 2026

IDs

CVE-2025-47273, CVE-2026-59890

Description

The python pip project (https://github.com/pypa/pip) has setuptools vendored in but it strips everything and only keeps pkg_resources

See pypa/pip#14224 for more information

Reproduction Steps

Minimal dockerfile

FROM python:3.12-slim

# Create a venv and install any package that pulls in pip with vendored setuptools
RUN python3 -m venv /opt/venv && \
    /opt/venv/bin/pip install pip --upgrade

docker build -t trivy-repro .
trivy image trivy-repro

This will show setuptools in the trivy result

docker run --rm trivy-repro grep setuptools /opt/venv/lib/python3.12/site-packages/pip/_vendor/vendor.txt

The above command will return

setuptools==70.3.0

The below command will return empty

docker run --rm trivy-repro find / -path "*/pip/_vendor/setuptools*" 2>/dev/null



### Target

Container Image

### Scanner

Vulnerability

### Target OS

MacOS

### Debug Output

```bash
/tmp/trivy-repo on ☁️  (us-west-2) took 2s
❯ trivy image trivy-repro --debug
2026-08-13T20:38:50+05:30       DEBUG   Default config file "file_path=trivy.yaml" not found, using built in values
2026-08-13T20:38:50+05:30       DEBUG   Cache dir       dir="/Users/noorul/Library/Caches/trivy"
2026-08-13T20:38:50+05:30       DEBUG   Cache dir       dir="/Users/noorul/Library/Caches/trivy"
2026-08-13T20:38:50+05:30       DEBUG   Parsed severities       severities=[UNKNOWN LOW MEDIUM HIGH CRITICAL]
2026-08-13T20:38:50+05:30       DEBUG   Ignore statuses statuses=[]
2026-08-13T20:38:50+05:30       DEBUG   DB update was skipped because the local DB is the latest
2026-08-13T20:38:50+05:30       DEBUG   DB info schema=2 updated_at=2026-08-13T13:03:34.300611711Z next_update=2026-08-14T13:03:34.300611373Z downloaded_at=2026-08-13T13:53:43.377367Z
2026-08-13T20:38:50+05:30       DEBUG   [notification] Running version check and sending anonymous telemetry
2026-08-13T20:38:50+05:30       DEBUG   [pkg] Package types     types=[os library]
2026-08-13T20:38:50+05:30       DEBUG   [pkg] Package relationships     relationships=[unknown root workspace direct indirect]
2026-08-13T20:38:50+05:30       INFO    [vuln] Vulnerability scanning is enabled
2026-08-13T20:38:50+05:30       INFO    [secret] Secret scanning is enabled
2026-08-13T20:38:50+05:30       INFO    [secret] If your scanning is slow, please try '--scanners vuln' to disable secret scanning
2026-08-13T20:38:50+05:30       INFO    [secret] Please see https://trivy.dev/docs/v0.73/guide/scanner/secret#recommendation for faster secret detection
2026-08-13T20:38:50+05:30       DEBUG   Initializing scan cache...      type="fs"
2026-08-13T20:38:50+05:30       DEBUG   [notification] Version check completed  latest_version="0.73.0"
2026-08-13T20:38:50+05:30       DEBUG   Created process-specific temp directory path="/var/folders/23/gd8nqqvs1czc_cgp5ssf81z40000gp/T/trivy-3521917097"
2026-08-13T20:38:50+05:30       DEBUG   [image] Image found     image="trivy-repro" source="docker"
2026-08-13T20:38:50+05:30       DEBUG   [secret] No secret config detected      config_path="trivy-secret.yaml"
2026-08-13T20:38:50+05:30       DEBUG   [secret] No secret config detected      config_path="trivy-secret.yaml"
2026-08-13T20:38:50+05:30       DEBUG   [image] Detected image ID       image_id="sha256:fa8699e723be11ed737b04760c630bfad3fcaef857fbef6ff3471e219132d69b"
2026-08-13T20:38:50+05:30       DEBUG   [image] Detected diff ID        diff_ids=[sha256:c01c35a040a25a51cd473910e3212a46d85fb700a6467c687f231d7edd47cbc1 sha256:30bf6dd11127f697a0a8397835b6864f927345a311a8c60f36ee4b90dd815ae9 sha256:f28353dc58c1134df0f08aeb19debe221a69c915efff3053257f2b839cce0a20 sha256:f869b4fd07c513748c823e406165a6d9972ecc450023601a62439584935f078c sha256:ba742a438a9a8d6edc49f535881bb56014e7c15f22279af2d4e0357d7697ac38]
2026-08-13T20:38:50+05:30       DEBUG   [image] Detected base layers    diff_ids=[sha256:c01c35a040a25a51cd473910e3212a46d85fb700a6467c687f231d7edd47cbc1 sha256:30bf6dd11127f697a0a8397835b6864f927345a311a8c60f36ee4b90dd815ae9 sha256:f28353dc58c1134df0f08aeb19debe221a69c915efff3053257f2b839cce0a20 sha256:f869b4fd07c513748c823e406165a6d9972ecc450023601a62439584935f078c]
2026-08-13T20:38:50+05:30       DEBUG   [image] Missing image ID in cache       image_id="sha256:fa8699e723be11ed737b04760c630bfad3fcaef857fbef6ff3471e219132d69b"
2026-08-13T20:38:50+05:30       DEBUG   [secret] Using streaming scanner        file_path="config.json"
2026-08-13T20:38:50+05:30       DEBUG   [secret] scanStream called      file_path="config.json" buffer_size=65536 overlap_size=4096
2026-08-13T20:38:50+05:30       DEBUG   [secret] scanChunk called       file_path="config.json" content_len=6150 num_rules=105
2026-08-13T20:38:50+05:30       DEBUG   [secret] Skipped secret scanning as non-compliant to the rule   file_path="config.json" rule_id="maven-settings-password"
2026-08-13T20:38:50+05:30       DEBUG   [secret] Skipped secret scanning as non-compliant to the rule   file_path="config.json" rule_id="maven-settings-passphrase"
2026-08-13T20:38:50+05:30       DEBUG   [secret] Skipped secret scanning as non-compliant to the rule   file_path="config.json" rule_id="maven-settings-security-master"
2026-08-13T20:38:50+05:30       DEBUG   [secret] scanChunk called       file_path="config.json" content_len=4096 num_rules=105
2026-08-13T20:38:50+05:30       DEBUG   [secret] Skipped secret scanning as non-compliant to the rule   file_path="config.json" rule_id="maven-settings-password"
2026-08-13T20:38:50+05:30       DEBUG   [secret] Skipped secret scanning as non-compliant to the rule   file_path="config.json" rule_id="maven-settings-passphrase"
2026-08-13T20:38:50+05:30       DEBUG   [secret] Skipped secret scanning as non-compliant to the rule   file_path="config.json" rule_id="maven-settings-security-master"
2026-08-13T20:38:50+05:30       DEBUG   No secrets found in container image config
2026-08-13T20:38:50+05:30       INFO    Detected OS     family="debian" version="13.6"
2026-08-13T20:38:50+05:30       INFO    [debian] Detecting vulnerabilities...   os_version="13" pkg_num=87
2026-08-13T20:38:50+05:30       INFO    Number of language-specific files       num=1
2026-08-13T20:38:50+05:30       INFO    [python-pkg] Detecting vulnerabilities...
2026-08-13T20:38:50+05:30       DEBUG   [python-pkg] Scanning packages for vulnerabilities      file_path=""
2026-08-13T20:38:50+05:30       WARN    Using severities from other vendors for some vulnerabilities. Read https://trivy.dev/docs/v0.73/guide/scanner/vulnerability#severity-selection for details.
2026-08-13T20:38:50+05:30       DEBUG   Specified ignore file does not exist    file=".trivyignore"
2026-08-13T20:38:50+05:30       DEBUG   [vex] VEX filtering is disabled
2026-08-13T20:38:50+05:30       INFO    Table result includes only package filenames. Use '--format json' option to get the full path to the package file.

Report Summary

┌──────────────────────────────────────────────────────────────────────┬────────────┬─────────────────┬─────────┐
│                                Target                                │    Type    │ Vulnerabilities │ Secrets │
├──────────────────────────────────────────────────────────────────────┼────────────┼─────────────────┼─────────┤
│ trivy-repro (debian 13.6)                                            │   debian   │       178       │    -    │
├──────────────────────────────────────────────────────────────────────┼────────────┼─────────────────┼─────────┤
│ Python                                                               │ python-pkg │        3        │    -    │
├──────────────────────────────────────────────────────────────────────┼────────────┼─────────────────┼─────────┤
│ opt/venv/lib/python3.12/site-packages/pip-26.2.1.dist-info/METADATA  │ python-pkg │        0        │    -    │
├──────────────────────────────────────────────────────────────────────┼────────────┼─────────────────┼─────────┤
│ usr/local/lib/python3.12/site-packages/pip-25.0.1.dist-info/METADATA │ python-pkg │        5        │    -    │
└──────────────────────────────────────────────────────────────────────┴────────────┴─────────────────┴─────────┘
Legend:
- '-': Not scanned
- '0': Clean (no security findings detected)


trivy-repro (debian 13.6)

Total: 178 (UNKNOWN: 29, LOW: 66, MEDIUM: 60, HIGH: 19, CRITICAL: 4)

┌────────────────────┬─────────────────────┬──────────┬──────────────┬─────────────────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│      Library       │    Vulnerability    │ Severity │    Status    │      Installed Version      │ Fixed Version │                            Title                             │
├────────────────────┼─────────────────────┼──────────┼──────────────┼─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ apt                │ CVE-2011-3374       │ LOW      │ affected     │ 3.0.3                       │               │ It was found that apt-key in apt, all versions, do not       │
│                    │                     │          │              │                             │               │ correctly...                                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2011-3374                    │
├────────────────────┼─────────────────────┤          │              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ bash               │ TEMP-0841856-B18BAF │          │              │ 5.2.37-2+b9                 │               │ [Privilege escalation possible to other user than root]      │
│                    │                     │          │              │                             │               │ https://security-tracker.debian.org/tracker/TEMP-0841856-B1- │
│                    │                     │          │              │                             │               │ 8BAF                                                         │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ bsdutils           │ CVE-2026-53615      │ HIGH     │              │ 1:2.41-5                    │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ coreutils          │ CVE-2017-18018      │ LOW      │              │ 9.7-3                       │               │ coreutils: race condition vulnerability in chown and chgrp   │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2017-18018                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-5278       │          │              │                             │               │ coreutils: Heap Buffer Under-Read in GNU Coreutils sort via  │
│                    │                     │          │              │                             │               │ Key Specification                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-5278                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-56391      │          │              │                             │               │ coreutils: GNU coreutils uniq: Denial of Service and         │
│                    │                     │          │              │                             │               │ information disclosure via out-of-bounds...                  │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-56391                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-56392      │          │              │                             │               │ coreutils: GNU coreutils unexpand: Denial of Service via     │
│                    │                     │          │              │                             │               │ crafted tab stop values...                                   │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-56392                   │
├────────────────────┼─────────────────────┤          │              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ diffutils          │ CVE-2026-53910      │          │              │ 1:3.10-4                    │               │ diffutils: heap‑based buffer overflow due to multiple signed │
│                    │                     │          │              │                             │               │ integer overflows in line‑mapping...                         │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53910                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ gzip               │ CVE-2026-41992      │ HIGH     │              │ 1.13-1                      │               │ GNU gzip contains a global buffer overflow vulnerability in  │
│                    │                     │          │              │                             │               │ the LZH de...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-41992                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-41991      │ MEDIUM   │              │                             │               │ gzip: gzip: Arbitrary file overwrite via insecure temporary  │
│                    │                     │          │              │                             │               │ file handling in gzexe...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-41991                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libacl1            │ CVE-2026-54369      │ HIGH     │              │ 2.3.2-2+b1                  │               │ acl: Symlink traversal privilege escalation via libacl       │
│                    │                     │          │              │                             │               │ functions                                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-54369                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-54370      │ MEDIUM   │              │                             │               │ acl: TOCTOU Symlink Traversal via getfacl/setfacl            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-54370                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libapt-pkg7.0      │ CVE-2011-3374       │ LOW      │              │ 3.0.3                       │               │ It was found that apt-key in apt, all versions, do not       │
│                    │                     │          │              │                             │               │ correctly...                                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2011-3374                    │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libattr1           │ CVE-2026-54371      │ MEDIUM   │              │ 1:2.5.2-3                   │               │ attr: attr: Symlink Traversal Privilege Escalation via       │
│                    │                     │          │              │                             │               │ getfattr and setfattr                                        │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-54371                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libblkid1          │ CVE-2026-53615      │ HIGH     │              │ 2.41-5                      │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libbz2-1.0         │ CVE-2026-42250      │ MEDIUM   │              │ 1.0.8-6                     │               │ bzip2: bzip2: Denial of Service in bzip2recover via a        │
│                    │                     │          │              │                             │               │ specially crafted file...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-42250                   │
├────────────────────┼─────────────────────┤          │              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libc-bin           │ CVE-2026-5435       │          │              │ 2.41-12+deb13u3             │               │ glibc: glibc: Out-of-bounds write via TSIG record processing │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-5435                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-5450       │          │              │                             │               │ glibc: glibc: Heap Buffer Overflow in `scanf` with `%mc`     │
│                    │                     │          │              │                             │               │ format specifier and...                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-5450                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-5928       │          │              │                             │               │ glibc: glibc: Information disclosure or denial of service    │
│                    │                     │          │              │                             │               │ via ungetwc function with...                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-5928                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-6238       │          │              │                             │               │ glibc: glibc: Application crash or uninitialized memory read │
│                    │                     │          │              │                             │               │ via crafted DNS response...                                  │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-6238                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-6368       │          │              │                             │               │ glibc: glibc: Process abort due to invalid memory in wordexp │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-6368                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-6791       │          │              │                             │               │ glibc: Glibc: Denial of Service via stack exhaustion during  │
│                    │                     │          │              │                             │               │ tilde expansion                                              │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-6791                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2010-4756       │ LOW      │              │                             │               │ glibc: glob implementation can cause excessive CPU and       │
│                    │                     │          │              │                             │               │ memory consumption due to...                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2010-4756                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2018-20796      │          │              │                             │               │ glibc: uncontrolled recursion in function                    │
│                    │                     │          │              │                             │               │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2018-20796                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010022    │          │              │                             │               │ glibc: stack guard protection bypass                         │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010022                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010023    │          │              │                             │               │ glibc: running ldd on malicious ELF leads to code execution  │
│                    │                     │          │              │                             │               │ because of...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010023                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010024    │          │              │                             │               │ glibc: ASLR bypass using cache of thread stack and heap      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010024                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010025    │          │              │                             │               │ glibc: information disclosure of heap addresses of           │
│                    │                     │          │              │                             │               │ pthread_created thread                                       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010025                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-9192       │          │              │                             │               │ glibc: uncontrolled recursion in function                    │
│                    │                     │          │              │                             │               │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-9192                    │
├────────────────────┼─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│ libc6              │ CVE-2026-5435       │ MEDIUM   │              │                             │               │ glibc: glibc: Out-of-bounds write via TSIG record processing │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-5435                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-5450       │          │              │                             │               │ glibc: glibc: Heap Buffer Overflow in `scanf` with `%mc`     │
│                    │                     │          │              │                             │               │ format specifier and...                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-5450                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-5928       │          │              │                             │               │ glibc: glibc: Information disclosure or denial of service    │
│                    │                     │          │              │                             │               │ via ungetwc function with...                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-5928                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-6238       │          │              │                             │               │ glibc: glibc: Application crash or uninitialized memory read │
│                    │                     │          │              │                             │               │ via crafted DNS response...                                  │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-6238                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-6368       │          │              │                             │               │ glibc: glibc: Process abort due to invalid memory in wordexp │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-6368                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-6791       │          │              │                             │               │ glibc: Glibc: Denial of Service via stack exhaustion during  │
│                    │                     │          │              │                             │               │ tilde expansion                                              │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-6791                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2010-4756       │ LOW      │              │                             │               │ glibc: glob implementation can cause excessive CPU and       │
│                    │                     │          │              │                             │               │ memory consumption due to...                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2010-4756                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2018-20796      │          │              │                             │               │ glibc: uncontrolled recursion in function                    │
│                    │                     │          │              │                             │               │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2018-20796                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010022    │          │              │                             │               │ glibc: stack guard protection bypass                         │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010022                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010023    │          │              │                             │               │ glibc: running ldd on malicious ELF leads to code execution  │
│                    │                     │          │              │                             │               │ because of...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010023                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010024    │          │              │                             │               │ glibc: ASLR bypass using cache of thread stack and heap      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010024                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-1010025    │          │              │                             │               │ glibc: information disclosure of heap addresses of           │
│                    │                     │          │              │                             │               │ pthread_created thread                                       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-1010025                 │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2019-9192       │          │              │                             │               │ glibc: uncontrolled recursion in function                    │
│                    │                     │          │              │                             │               │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2019-9192                    │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ liblastlog2-2      │ CVE-2026-53615      │ HIGH     │              │ 2.41-5                      │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│ libmount1          │ CVE-2026-53615      │ HIGH     │              │                             │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libncursesw6       │ CVE-2025-69720      │ HIGH     │              │ 6.5+20250216-2              │               │ ncurses: ncurses: Buffer overflow vulnerability may lead to  │
│                    │                     │          │              │                             │               │ arbitrary code execution.                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-69720                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-6141       │ LOW      │              │                             │               │ gnu-ncurses: ncurses Stack Buffer Overflow                   │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-6141                    │
├────────────────────┼─────────────────────┼──────────┼──────────────┼─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libpam-modules     │ CVE-2026-54411      │ MEDIUM   │ fix_deferred │ 1.7.0-5                     │               │ linux-pam: Plaintext password recovery via timing            │
│                    │                     │          │              │                             │               │ discrepancy in pam_userdb module                             │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-54411                   │
├────────────────────┤                     │          │              │                             ├───────────────┤                                                              │
│ libpam-modules-bin │                     │          │              │                             │               │                                                              │
│                    │                     │          │              │                             │               │                                                              │
│                    │                     │          │              │                             │               │                                                              │
├────────────────────┤                     │          │              │                             ├───────────────┤                                                              │
│ libpam-runtime     │                     │          │              │                             │               │                                                              │
│                    │                     │          │              │                             │               │                                                              │
│                    │                     │          │              │                             │               │                                                              │
├────────────────────┤                     │          │              │                             ├───────────────┤                                                              │
│ libpam0g           │                     │          │              │                             │               │                                                              │
│                    │                     │          │              │                             │               │                                                              │
│                    │                     │          │              │                             │               │                                                              │
├────────────────────┼─────────────────────┼──────────┼──────────────┼─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libsmartcols1      │ CVE-2026-53615      │ HIGH     │ affected     │ 2.41-5                      │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libsqlite3-0       │ CVE-2026-11822      │ MEDIUM   │              │ 3.46.1-7+deb13u1            │               │ SQLite before 3.53.2 contains memory corruption              │
│                    │                     │          │              │                             │               │ vulnerabilities in the ...                                   │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-11822                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-11824      │          │              │                             │               │ SQLite before 3.53.2 contains a heap-based buffer overflow   │
│                    │                     │          │              │                             │               │ vulnerabili ...                                              │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-11824                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-50812      │          │              │                             │               │ A NULL pointer dereference in the SQLite Session Extension   │
│                    │                     │          │              │                             │               │ in SQLite 3...                                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-50812                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-50813      │          │              │                             │               │ An issue in SQLite before Fossil check-in 869a51ae84df       │
│                    │                     │          │              │                             │               │ allows a local ...                                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-50813                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2021-45346      │ LOW      │              │                             │               │ sqlite: crafted SQL query allows a malicious user to obtain  │
│                    │                     │          │              │                             │               │ sensitive information...                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2021-45346                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-70873      │          │              │                             │               │ sqlite: SQLite: Information Disclosure via Crafted ZIP File  │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-70873                   │
├────────────────────┼─────────────────────┤          │              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libsystemd0        │ CVE-2013-4392       │          │              │ 257.13-1~deb13u1            │               │ systemd: TOCTOU race condition when updating file            │
│                    │                     │          │              │                             │               │ permissions and SELinux security contexts...                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2013-4392                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2023-31437      │          │              │                             │               │ An issue was discovered in systemd 253. An attacker can      │
│                    │                     │          │              │                             │               │ modify a...                                                  │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2023-31437                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2023-31438      │          │              │                             │               │ An issue was discovered in systemd 253. An attacker can      │
│                    │                     │          │              │                             │               │ truncate a...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2023-31438                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2023-31439      │          │              │                             │               │ An issue was discovered in systemd 253. An attacker can      │
│                    │                     │          │              │                             │               │ modify the...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2023-31439                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-40228      │          │              │                             │               │ systemd: systemd-journald: Unintended output to user         │
│                    │                     │          │              │                             │               │ terminals via logger command                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-40228                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libtinfo6          │ CVE-2025-69720      │ HIGH     │              │ 6.5+20250216-2              │               │ ncurses: ncurses: Buffer overflow vulnerability may lead to  │
│                    │                     │          │              │                             │               │ arbitrary code execution.                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-69720                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-6141       │ LOW      │              │                             │               │ gnu-ncurses: ncurses Stack Buffer Overflow                   │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-6141                    │
├────────────────────┼─────────────────────┤          │              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libudev1           │ CVE-2013-4392       │          │              │ 257.13-1~deb13u1            │               │ systemd: TOCTOU race condition when updating file            │
│                    │                     │          │              │                             │               │ permissions and SELinux security contexts...                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2013-4392                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2023-31437      │          │              │                             │               │ An issue was discovered in systemd 253. An attacker can      │
│                    │                     │          │              │                             │               │ modify a...                                                  │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2023-31437                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2023-31438      │          │              │                             │               │ An issue was discovered in systemd 253. An attacker can      │
│                    │                     │          │              │                             │               │ truncate a...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2023-31438                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2023-31439      │          │              │                             │               │ An issue was discovered in systemd 253. An attacker can      │
│                    │                     │          │              │                             │               │ modify the...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2023-31439                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-40228      │          │              │                             │               │ systemd: systemd-journald: Unintended output to user         │
│                    │                     │          │              │                             │               │ terminals via logger command                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-40228                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ libuuid1           │ CVE-2026-53615      │ HIGH     │              │ 2.41-5                      │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ login              │ CVE-2026-53615      │ HIGH     │              │ 1:4.16.0-2+really2.41-5     │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ login.defs         │ CVE-2007-5686       │ LOW      │              │ 1:4.17.4-2                  │               │ initscripts in rPath Linux 1 sets insecure permissions for   │
│                    │                     │          │              │                             │               │ the /var/lo ......                                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2007-5686                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2024-56433      │          │              │                             │               │ shadow-utils: Default subordinate ID configuration in        │
│                    │                     │          │              │                             │               │ /etc/login.defs could lead to compromise                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2024-56433                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ TEMP-0628843-DBAD28 │          │              │                             │               │ [more related to CVE-2005-4890]                              │
│                    │                     │          │              │                             │               │ https://security-tracker.debian.org/tracker/TEMP-0628843-DB- │
│                    │                     │          │              │                             │               │ AD28                                                         │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ mount              │ CVE-2026-53615      │ HIGH     │              │ 2.41-5                      │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ ncurses-base       │ CVE-2025-69720      │ HIGH     │              │ 6.5+20250216-2              │               │ ncurses: ncurses: Buffer overflow vulnerability may lead to  │
│                    │                     │          │              │                             │               │ arbitrary code execution.                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-69720                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-6141       │ LOW      │              │                             │               │ gnu-ncurses: ncurses Stack Buffer Overflow                   │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-6141                    │
├────────────────────┼─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│ ncurses-bin        │ CVE-2025-69720      │ HIGH     │              │                             │               │ ncurses: ncurses: Buffer overflow vulnerability may lead to  │
│                    │                     │          │              │                             │               │ arbitrary code execution.                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-69720                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-6141       │ LOW      │              │                             │               │ gnu-ncurses: ncurses Stack Buffer Overflow                   │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-6141                    │
├────────────────────┼─────────────────────┤          │              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ passwd             │ CVE-2007-5686       │          │              │ 1:4.17.4-2                  │               │ initscripts in rPath Linux 1 sets insecure permissions for   │
│                    │                     │          │              │                             │               │ the /var/lo ......                                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2007-5686                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2024-56433      │          │              │                             │               │ shadow-utils: Default subordinate ID configuration in        │
│                    │                     │          │              │                             │               │ /etc/login.defs could lead to compromise                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2024-56433                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ TEMP-0628843-DBAD28 │          │              │                             │               │ [more related to CVE-2005-4890]                              │
│                    │                     │          │              │                             │               │ https://security-tracker.debian.org/tracker/TEMP-0628843-DB- │
│                    │                     │          │              │                             │               │ AD28                                                         │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ perl-base          │ CVE-2026-13221      │ CRITICAL │              │ 5.40.1-6                    │               │ Perl versions through 5.43.9 produce silently incorrect      │
│                    │                     │          │              │                             │               │ regular expres ...                                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13221                   │
│                    ├─────────────────────┤          ├──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-42496      │          │ fix_deferred │                             │               │ perl-archive-tar: perl-archive-tar: Path traversal via       │
│                    │                     │          │              │                             │               │ crafted symlinks allows arbitrary file access                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-42496                   │
│                    ├─────────────────────┤          ├──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-57433      │          │ affected     │                             │               │ Storable versions before 3.41 for Perl have a signed integer │
│                    │                     │          │              │                             │               │ overflow ...                                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-57433                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-8376       │          │              │                             │               │ perl: Perl: Heap buffer overflow when compiling regular      │
│                    │                     │          │              │                             │               │ expressions on 32-bit builds...                              │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-8376                    │
│                    ├─────────────────────┼──────────┼──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-42497      │ HIGH     │ fix_deferred │                             │               │ perl-Archive-Tar: perl-Archive-Tar: Arbitrary file           │
│                    │                     │          │              │                             │               │ modification via crafted hardlinks during archive extraction │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-42497                   │
│                    ├─────────────────────┤          ├──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-48962      │          │ affected     │                             │               │ perl-IO-Compress: perl-IO-Compress: Arbitrary code execution │
│                    │                     │          │              │                             │               │ via attacker-controlled output glob                          │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-48962                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-57432      │          │              │                             │               │ perl: Perl: Information disclosure via integer overflow in   │
│                    │                     │          │              │                             │               │ pack/unpack operations                                       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-57432                   │
│                    ├─────────────────────┤          ├──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-9538       │          │ fix_deferred │                             │               │ perl-Archive-Tar: perl-Archive-Tar: Denial of Service via    │
│                    │                     │          │              │                             │               │ crafted tar header with large entry...                       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-9538                    │
│                    ├─────────────────────┼──────────┼──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-15649      │ MEDIUM   │ affected     │                             │               │ perl-IO-Compress: perl-IO-Compress: Denial of Service via    │
│                    │                     │          │              │                             │               │ malformed DOS date in zip header...                          │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-15649                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-12087      │          │              │                             │               │ perl-Socket: perl-Socket: Information Disclosure due to      │
│                    │                     │          │              │                             │               │ Out-of-Bounds Read                                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-12087                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-48959      │          │              │                             │               │ perl-IO-Compress: perl-IO-Compress: CPU exhaustion via       │
│                    │                     │          │              │                             │               │ per-byte read loop in fastForward                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-48959                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-48961      │          │              │                             │               │ perl-IO-Compress: IO::Compress: Denial of Service in         │
│                    │                     │          │              │                             │               │ zipdetails CLI tool via malformed Info-ZIP...                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-48961                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-7010       │          │              │                             │               │ HTTP::Tiny versions before 0.093 for Perl do not validate    │
│                    │                     │          │              │                             │               │ CRLF in HTTP...                                              │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-7010                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2011-4116       │ LOW      │              │                             │               │ perl: File:: Temp insecure temporary file handling           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2011-4116                    │
│                    ├─────────────────────┼──────────┼──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-15534      │ UNKNOWN  │ fix_deferred │                             │               │ Perl versions through 5.45.1 have out-of-bounds heap reads   │
│                    │                     │          │              │                             │               │ and writes ......                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-15534                   │
│                    ├─────────────────────┤          ├──────────────┤                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-7017       │          │ affected     │                             │               │ HTTP::Tiny versions before 0.095 for Perl forward credential │
│                    │                     │          │              │                             │               │ headers t ...                                                │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-7017                    │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ sysvinit-utils     │ TEMP-0517018-A83CE6 │ LOW      │              │ 3.14-4                      │               │ [sysvinit: no-root option in expert installer exposes        │
│                    │                     │          │              │                             │               │ locally exploitable security flaw]                           │
│                    │                     │          │              │                             │               │ https://security-tracker.debian.org/tracker/TEMP-0517018-A8- │
│                    │                     │          │              │                             │               │ 3CE6                                                         │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ tar                │ CVE-2026-18477      │ MEDIUM   │              │ 1.35+dfsg-3.1               │               │ tar: tar: TOCTOU in incremental dumpdir 'X' rename handling  │
│                    │                     │          │              │                             │               │ allows restore path...                                       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-18477                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-18508      │          │              │                             │               │ tar: tar: --one-top-level hardlink targets not confined to   │
│                    │                     │          │              │                             │               │ top-level directory enabling arbitrary...                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-18508                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-5704       │          │              │                             │               │ tar: tar: Hidden file injection via crafted archives         │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-5704                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2005-2541       │ LOW      │              │                             │               │ tar: does not properly warn the user when extracting setuid  │
│                    │                     │          │              │                             │               │ or setgid...                                                 │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2005-2541                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ TEMP-0290435-0B57B5 │          │              │                             │               │ [tar's rmt command may have undesired side effects]          │
│                    │                     │          │              │                             │               │ https://security-tracker.debian.org/tracker/TEMP-0290435-0B- │
│                    │                     │          │              │                             │               │ 57B5                                                         │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ util-linux         │ CVE-2026-53615      │ HIGH     │              │ 2.41-5                      │               │ [Integer Overflow or Wraparound in                           │
│                    │                     │          │              │                             │               │ libblkid/src/partitions/dos.c]                               │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53615                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-13595      │ MEDIUM   │              │                             │               │ util-linux: util-linux: heap use-after-free in libblkid      │
│                    │                     │          │              │                             │               │ nested partition probing                                     │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-13595                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-27456      │          │              │                             │               │ util-linux: TOCTOU in the mount program when setting up loop │
│                    │                     │          │              │                             │               │ devices                                                      │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27456                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-3184       │          │              │                             │               │ util-linux: util-linux: Access control bypass due to         │
│                    │                     │          │              │                             │               │ improper hostname canonicalization                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-3184                    │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2022-0563       │ LOW      │              │                             │               │ util-linux: partial disclosure of arbitrary files in chfn    │
│                    │                     │          │              │                             │               │ and chsh when compiled...                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2025-14104      │          │              │                             │               │ util-linux: util-linux: Heap buffer overread in setpwnam()   │
│                    │                     │          │              │                             │               │ when processing 256-byte usernames                           │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2025-14104                   │
│                    ├─────────────────────┼──────────┤              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53612      │ UNKNOWN  │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8)           │
│                    │                     │          │              │                             │               │ hook_owner.c chmod/chown]                                    │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53612                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53613      │          │              │                             │               │ [Local Privilege Escalation via TOCTOU in mount(8) - Target  │
│                    │                     │          │              │                             │               │ Path Redirection]                                            │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53613                   │
│                    ├─────────────────────┤          │              │                             ├───────────────┼──────────────────────────────────────────────────────────────┤
│                    │ CVE-2026-53614      │          │              │                             │               │ [Local Privilege Escalation via LIBMOUNT_FORCE_MOUNT2        │
│                    │                     │          │              │                             │               │ Environment Variable - nosuid/noexec Bypass in SUID...       │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-53614                   │
├────────────────────┼─────────────────────┼──────────┤              ├─────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ zlib1g             │ CVE-2026-27171      │ MEDIUM   │              │ 1:1.3.dfsg+really1.3.1-1+b1 │               │ zlib: zlib: Denial of Service via infinite loop in CRC32     │
│                    │                     │          │              │                             │               │ combine functions...                                         │
│                    │                     │          │              │                             │               │ https://avd.aquasec.com/nvd/cve-2026-27171                   │
└────────────────────┴─────────────────────┴──────────┴──────────────┴─────────────────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘

Python (python-pkg)

Total: 8 (UNKNOWN: 0, LOW: 1, MEDIUM: 5, HIGH: 2, CRITICAL: 0)

┌────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│    Library     │    Vulnerability    │ Severity │ Status │ Installed Version │ Fixed Version │                            Title                             │
├────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ msgpack        │ GHSA-6v7p-g79w-8964 │ HIGH     │ fixed  │ 1.1.2             │ 1.2.1         │ MessagePack for Python: Out-of-bounds read / crash on        │
│                │                     │          │        │                   │               │ Unpacker reuse after a...                                    │
│                │                     │          │        │                   │               │ https://github.com/advisories/GHSA-6v7p-g79w-8964            │
├────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ pip (METADATA) │ CVE-2025-8869       │ MEDIUM   │        │ 25.0.1            │ 25.3          │ pip: pip missing checks on symbolic link extraction          │
│                │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2025-8869                    │
│                ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                │ CVE-2026-3219       │          │        │                   │ 26.1          │ pip: pip: Incorrect file installation due to improper        │
│                │                     │          │        │                   │               │ archive handling                                             │
│                │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2026-3219                    │
│                ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                │ CVE-2026-6357       │          │        │                   │               │ pip: pip: Arbitrary code execution or information disclosure │
│                │                     │          │        │                   │               │ via malicious wheel package...                               │
│                │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2026-6357                    │
│                ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                │ CVE-2026-8643       │          │        │                   │ 26.1.2        │ python-pip: Path traversal via malicious entry point name in │
│                │                     │          │        │                   │               │ pip wheel installation...                                    │
│                │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2026-8643                    │
│                ├─────────────────────┼──────────┤        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                │ CVE-2026-1703       │ LOW      │        │                   │ 26.0          │ pip: pip: Information disclosure via path traversal when     │
│                │                     │          │        │                   │               │ installing crafted wheel archives...                         │
│                │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2026-1703                    │
├────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ setuptools     │ CVE-2025-47273      │ HIGH     │        │ 70.3.0            │ 78.1.1        │ setuptools: Path Traversal Vulnerability in setuptools       │
│                │                     │          │        │                   │               │ PackageIndex                                                 │
│                │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2025-47273                   │
│                ├─────────────────────┼──────────┤        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                │ CVE-2026-59890      │ MEDIUM   │        │                   │ 83.0.0        │ setuptools: setuptools: MANIFEST.in exclusion bypass in      │
│                │                     │          │        │                   │               │ sdist via Unicode normalization collision (NFC/NFD)...       │
│                │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2026-59890                   │
└────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘
2026-08-13T20:38:50+05:30       DEBUG   Cleaning up temp directory      path="/var/folders/23/gd8nqqvs1czc_cgp5ssf81z40000gp/T/trivy-3521917097"

/tmp/trivy-repo on ☁️  (us-west-2)
❯

Version

trivy --version
Version: 0.73.0
Vulnerability DB:
  Version: 2
  UpdatedAt: 2026-08-13 13:03:34.300611711 +0000 UTC
  NextUpdate: 2026-08-14 13:03:34.300611373 +0000 UTC
  DownloadedAt: 2026-08-13 13:53:43.377367 +0000 UTC
Java DB:
  Version: 1
  UpdatedAt: 2026-08-12 01:10:41.060312521 +0000 UTC
  NextUpdate: 2026-08-15 01:10:41.060312321 +0000 UTC
  DownloadedAt: 2026-08-12 07:14:48.771568 +0000 UTC

Checklist

Read the documentation regarding wrong detection
Ran Trivy with -f json that shows data sources and confirmed that the security advisory in data sources was correct

DmitriyLewen · 2026-08-14T07:47:41Z

DmitriyLewen
Aug 14, 2026
Maintainer

Duplicate of #11031

0 replies

Navigation Menu

Uh oh!

The python pip project has setuptools vendored in but it strips everything and only keeps pkg_resources #11091

Uh oh!

{{title}}

Uh oh!

Uh oh!

{{editor}}'s edit

{{editor}}'s edit

Uh oh!

Replies: 1 comment

Uh oh!

{{title}}

Uh oh!

Select a reply

Uh oh!

Uh oh!

The python pip project has setuptools vendored in but it strips everything and only keeps pkg_resources #11091

Uh oh!

Uh oh!

noorul Aug 13, 2026

IDs

Description

Reproduction Steps

Version

Checklist

Replies: 1 comment

Uh oh!

DmitriyLewen Aug 14, 2026 Maintainer

noorul
Aug 13, 2026

DmitriyLewen
Aug 14, 2026
Maintainer