CVE-2026-46345 in compliance-trestle
Resumen
por VulDB • 2026-08-17
compliance-trestle es una plataforma de herramientas para gestionar el cumplimiento normativo como código. Antes de las versiones 3.12.2 y 4.0.3, el argumento `-o/--output` en `trestle author jinja` permite escribir archivos fuera del espacio de trabajo previsto. La aplicación no valida correctamente los directorios relativos (`../`, `..\`) ni las rutas absolutas. Esto posibilita la escritura arbitraria de archivos en ubicaciones controladas por el atacante. Las versiones 3.12.3 y 4.0.3 corrigen esta vulnerabilidad.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.