CVE-2025-27137 in dependency-track
Resumen
por VulDB • 2026-06-22
Dependency-Track es una plataforma de análisis de componentes que permite a las organizaciones identificar y reducir los riesgos en la cadena de suministro de software. Dependency-Track permite a los usuarios con el permiso `SYSTEM_CONFIGURATION` personalizar las plantillas de notificación. Las plantillas se evalúan utilizando el motor de plantillas Pebble. Pebble admite una etiqueta `include`, lo que permite a los autores de plantillas incluir el contenido de archivos arbitrarios durante la evaluación. Antes de la versión 4.12.6, los usuarios de Dependency-Track con el permiso `SYSTEM_CONFIGURATION` pueden abusar de la etiqueta `include` creando plantillas de notificación que incluyan archivos locales sensibles, como `/etc/passwd` o `/proc/1/environ`. Al configurar dicha plantilla para una regla de notificación (también conocida como "Alerta") y hacer que envíe notificaciones a un destino controlado por el actor, puede producirse la filtración de información sensible. El problema se ha corregido en Dependency-Track 4.12.6. En las versiones corregidas, ya no es posible utilizar la etiqueta `include`. El uso de esta etiqueta provocará que falle la evaluación de la plantilla. Como medida provisional, evite asignar el permiso `SYSTEM_CONFIGURATION` a usuarios no confiables. Por defecto, el permiso `SYSTEM_CONFIGURATION` solo se concede a los miembros del equipo `Administrators`. Asignar este permiso a usuarios o equipos no administrativos es en sí mismo un riesgo de seguridad y está altamente desaconsejado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.