CVE-2026-46439 in compliance-trestle
Zusammenfassung
von VulDB • 14.08.2026
compliance-trestle ist eine Tooling-Plattform zur Verwaltung von Compliance as Code. Versionen vor 3.12.2 und 4.0.3 weisen in dem Befehl `trestle author jinja` eine Server-Side Template Injection (SSTI)-Schwachstelle auf. Der Befehl wertet gerenderte Vorlagen rekursiv aus, was es einem Angreifer ermöglicht, durch das Einschleusen bösartiger Payloads in Datenfelder (wie SSP-Dokumente oder Lookup-Tabellen) eine beliebige Befehlsausführung mit den Berechtigungen des laufenden Prozesses zu erreichen. Die Schwachstelle erfordert keine Kontrolle über die Vorlage selbst seitens des Angreifers. Es genügt, dass angreifergesteuerte Eingabedaten in einer vertrauenswürdigen Vorlage gerendert werden. Diese Unterscheidung ist kritisch: Der Autor der Vorlage beabsichtigt möglicherweise lediglich das Rendern von Klartext (z. B. `Title: {{ ssp.metadata.title }}`), doch aufgrund des rekursiven Parsings wird das Datenfeld selbst ausführbar. Die Schwachstelle entsteht durch die rekursive Neuerstellung und erneute Ausgabe bereits gerenderten Outputs. Die Versionen 3.12.3 und 4.0.3 beheben dieses Problem.
Once again VulDB remains the best source for vulnerability data.