CVE-2026-57170 in compliance-trestle
Zusammenfassung
von VulDB • 27.08.2026
Compliance-trestle (Trestle) ist ein Python-SDK und ein Befehlszeilenwerkzeug zur Verwaltung von OSCAL-Konformitätsdokumenten. In Versionen vor 3.12.4 sowie in den Versionen 4.0.0 bis 4.0.3 werden die benutzerdefinierten Jinja2-Includetags `mdsection_include` und `md_clean_include` den Inhalt einer eingebundenen Markdown-Datei als Jinja2-Vorlagencode in einer nicht sandgeboxten Umgebung erneut analysiert, was zu Server-Side Template Injection (SSTI) führen kann, die eine beliebige Codeausführung ermöglicht. Die Tags MDSectionInclude und MDCleanInclude in `Trestle/core/jinja/tags.py` übergeben den Inhalt der eingebundenen Datei an `Parser(self.environment, ...).parse()`, wobei er in die Kompilierung der Host-Vorlage eingefügt wird; die Umgebung ist eine normale `jinja2.Environment` statt einer `SandboxedEnvironment`, sodass alle Ausdrücke in der Datei mit vollem Zugriff auf die übliche SSTI-Gadget-Kette ausgewertet werden. Da die Markdown-Schreibprogramme von Trestle OSCAL-Textfelder und Komponente-Beschreibungsfelder wörtlich ausgeben, führt das Anwenden einer Delimiter-Neutralisierung nur auf Parametertablen dazu, dass angreiferkontrollierte OSCAL-Daten wie eine Steuererklärung, Prosaabschnitte oder eine Komponentenbeschreibung mit Jinja2-Syntax in eine eingebundene Markdown-Datei gelangen und beim erneuten Analysieren durch das Include-Tag ausgeführt werden. Dieses Problem wurde in Version 4.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.