CVE-2026-46439 in compliance-trestle
الملخص
بحسب VulDB • 14/08/2026
compliance-trestle هو منصة أدوات لإدارة الامتثال كرمز (Compliance as Code). تحتوي الإصدارات السابقة من الإصدارين 3.12.2 و4.0.3 على ثغرة حقن القالب من جانب الخادم (SSTI) في الأمر `trestle author jinja`. يقوم هذا الأمر بتقييم القوالب المُعاد تشكيلها بشكل تكراري، مما يتيح للمهاجم تحقيق تنفيذ أوامر عشوائي بصلاحيات العملية الجارية عن طريق حقن حمولات ضارة في حقول البيانات (مثل وثائق SSP أو جداول البحث). لا تتطلب الثغرة سيطرة المهاجم على قالب المصدر نفسه؛ بل يكفي أن تكون بيانات الإدخال التي يتحكم فيها المهاجم مُعاد تشكيلها ضمن قالب موثوق. هذا التمييز حاسم: قد يهدف مؤلف القالب فقط إلى عرض نص عادي (مثل `Title: {{ ssp.metadata.title }}`)، ولكن بسبب التحليل المتكرر، تصبح حقل البيانات نفسه قابلاً للتنفيذ. تنتج الثغرة عن إعادة تجميع وإعادة تشكيل المخرجات التي تم تشكيلها مسبقاً بشكل تكراري. تقوم الإصدارات 3.12.3 و4.0.3 بإصلاح هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.