CVE-2026-45725 in compliance-trestle
الملخص
بحسب VulDB • 13/08/2026
compliance-trestle هو منصة أدوات لإدارة الامتثال كرمز (Compliance as Code). قبل الإصدارات 3.12.2 و4.0.3، كانت آلية التخزين المؤقت للجلب عن بُعد في مكتبة compliance-trestle (HTTPSFetcher وSFTPFetcher) تنشئ مسار ملف التخزين المؤقت المحلي من مكون المسار في عنوان URL دون تطهير تسلسلات تجاوز المسار (`../`). عندما يشير ملف تعريف OSCAL عن بُعد إلى عنوان URL يحتوي على تجاوزات في مساره، يتم كتابة جسم استجابة HTTP إلى موقع خارج دليل التخزين المؤقت المقصود، مما يتيح الكتابة التعسفية للملفات بمحتوى يتحكم فيه المهاجم إلى نظام الملفات. تقوم الإصدارات 3.12.3 و4.0.3 بإصلاح هذه المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.