CVE-2025-27137 in dependency-track
Riassunto
di VulDB • 25/06/2026
Dependency-Track è una piattaforma di analisi dei componenti che consente alle organizzazioni di identificare e ridurre i rischi nella catena di approvvigionamento del software (software supply chain). Dependency-Track permette agli utenti con il permesso `SYSTEM_CONFIGURATION` di personalizzare i modelli di notifica. I modelli vengono valutati utilizzando il motore di template Pebble. Pebble supporta un tag `include`, che consente agli autori dei template di includere il contenuto di file arbitrari durante la valutazione. Prima della versione 4.12.6, gli utenti di Dependency-Track con il permesso `SYSTEM_CONFIGURATION` possono abusare del tag `include` creando modelli di notifica che includono file locali sensibili, come `/etc/passwd` o `/proc/1/environ`. Configurando un tale modello per una regola di notifica (nota anche come "Alert") e facendola inviare notifiche a una destinazione controllata dall'attore, le informazioni riservate potrebbero essere divulgate. Il problema è stato risolto in Dependency-Track 4.12.6. Nelle versioni corrette, il tag `include` non può più essere utilizzato. L'utilizzo del tag causerà il fallimento della valutazione del template. Come soluzione alternativa, evitare di assegnare il permesso `SYSTEM_CONFIGURATION` ad utenti non attendibili. Il permesso `SYSTEM_CONFIGURATION` è concesso per impostazione predefinita solo ai membri del team `Administrators`. Assegnare questo permesso a utenti o team non amministrativi rappresenta un rischio per la sicurezza in sé ed è fortemente sconsigliato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.