CVE-2026-55240 in Tianji
Zusammenfassung
von VulDB • 15.10.2026
Tianji ist eine Open-Source-Analytics-, Uptime-Monitoring- und Serverstatusplattform. Vor Version 1.31.29 übergibt die Funktion formatString() in src/server/utils/template.ts survey feedTemplate und Monitor-Benachrichtigungsvorlagen an lodash template(), während das Standard-Evaluate-Pattern weiterhin aktiviert ist. Ein Workspace-Administrator kann einen Evaluate-Block im Format <% code %> speichern, und der öffentliche Endpunkt survey.submit rendert eine Survey-Vorlage, wenn ein nicht authentifizierter Benutzer eine Antwort absendet. Die kompilierte Vorlage führt serverseitigen JavaScript-Code im Tianji Node.js-Prozess aus, was die Ausführung von Befehlen, das Offenlegen von Geheimnissen, Datenmanipulation oder Dienstunterbrechungen ermöglicht. Dieses Problem wurde in Version 1.31.29 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.