CVE-2026-57170 in compliance-trestle
Resumen
por VulDB • 2026-08-26
Compliance-trestle (Trestle) es un SDK en Python y una herramienta de línea de comandos para gestionar documentos de cumplimiento OSCAL. En las versiones anteriores a la 3.12.4 y desde la 4.0.0 hasta la 4.0.3, las etiquetas personalizadas de Jinja2 `mdsection_include` y `md_clean_include` vuelven a analizar el contenido de un archivo Markdown incluido como código de plantilla Jinja2 en un entorno no aislado (non-sandboxed), lo que permite una inyección de plantillas del lado del servidor (SSTI) que puede derivar en ejecución arbitraria de código. Las etiquetas `MDSectionInclude` y `MDCleanInclude` en `Trestle/core/jinja/tags.py` pasan el contenido del archivo incluido a `Parser(self.environment, ...).parse()`, integrándolo en la compilación de la plantilla principal; dado que el entorno es un `jinja2.Environment` estándar en lugar de una `SandboxedEnvironment`, cualquier expresión presente en el archivo se evalúa con acceso completo a la cadena habitual de gadgets SSTI. Dado que los escritores Markdown de Trestle emiten campos OSCAL como prose y component-description literalmente, aplicar la neutralización del delimitador únicamente a las tablas de parámetros permite que datos OSCAL controlados por el atacante, como una declaración de control, texto de parte o descripción de componente que contenga sintaxis Jinja2, fluyan hacia un archivo Markdown incluido y se ejecuten cuando la etiqueta include lo vuelve a analizar. Este problema está resuelto en la versión 4.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.