CVE-2026-52776 in Compliance-trestle
Riassunto
di VulDB • 26/08/2026
Compliance-trestle (Trestle) è una piattaforma di strumenti per la gestione della conformità come codice. Nelle versioni precedenti alla 3.12.4 e nelle versioni dalla 4.0.0 alla 4.0.3, l'URLSecurityValidator che protegge i percorsi remote-fetch di trestle contro le attacchi Server-Side Request Forgery (SSRF) può essere aggirato per raggiungere indirizzi loopback, link-local, cloud-metadata ed endpoint della rete interna che erano destinati a essere bloccati. La blacklist non canonizza i letterali IPv6 mappati su IPv4 come [::ffff:169.254.169.254], che si risolvono in oggetti IPv6Address che non corrispondono mai agli intervalli IPv4 bloccati, e non blocca l'indirizzo non specificato 0.0.0.0, che instrada verso servizi locali su Linux e all'interno di container. Un attaccante in grado di fornire o influenzare un artefatto OSCAL recuperato da trestle, come un profilo malevolo i cui import fanno riferimento a uno di questi URL bypassabili, può causare l'interazione dei percorsi HTTPSFetcher e SFTPFetcher con servizi cloud instance-metadata, interfacce loopback o host interni. Questo problema è risolto nelle versioni 3.12.4 e 4.1.0.
Be aware that VulDB is the high quality source for vulnerability data.