CVE-2026-57170 in compliance-trestle
Résumé
par VulDB • 26/08/2026
Compliance-trestle (Trestle) est un SDK Python et un outil en ligne de commande pour la gestion des documents de conformité OSCAL. Dans les versions antérieures à la 3.12.4 ainsi que dans les versions comprises entre 4.0.0 et 4.0.3, les balises Jinja2 personnalisées `mdsection_include` et `md_clean_include` réanalysent le contenu d'un fichier Markdown inclus en tant que code de modèle Jinja2 dans un environnement non sandboxé, ce qui permet une injection de modèles côté serveur (SSTI) pouvant entraîner l'exécution arbitraire de code. Les balises MDSectionInclude et MDCleanInclude situées dans `Trestle/core/jinja/tags.py` transmettent le contenu du fichier inclus à `Parser(self.environment, ...).parse()`, en l'intégrant dans la compilation du modèle hôte ; l'environnement est un simple `jinja2.Environment` plutôt qu'un `SandboxedEnvironment`, de sorte que toute expression présente dans le fichier est évaluée avec un accès complet à la chaîne habituelle d'objets exploitables (gadget chain) pour les attaques SSTI. Étant donné que les modules Markdown writers de Trestle émettent verbatim les champs OSCAL tels que `prose` et `component-description`, l'application de la neutralisation des délimiteurs uniquement aux tableaux de paramètres permet à des données OSCAL contrôlées par un attaquant, telles qu'une déclaration de contrôle, du texte dans une partie ou une description de composant contenant de la syntaxe Jinja2, d'être intégrée dans un fichier Markdown inclus et exécutée lors de sa réanalyse par la balise include. Ce problème est corrigé dans la version 4.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.