CVE-2026-45725 in compliance-trestle
要約
〜によって VulDB • 2026年08月13日
compliance-trestleは、コンプライアンスをコードとして管理するためのツールリングプラットフォームです。バージョン3.12.2および4.0.3より前では、compliance-trestleライブラリのリモートフェッチングキャッシュメカニズム（HTTPSFetcherおよびSFTPFetcher）が、パストラバーサルシーケンス（`../`）のサニタイズを行わずにURLパスコンポーネントからローカルキャッシュファイルパスを構築していました。リモートのOSCALプロファイルでパス内にトラバーサルを含むURLを参照すると、HTTPレスポンスボディは意図されたキャッシュディレクトリ外の場所に書き込まれ、攻撃者が制御するコンテンツによる任意のファイル書き込みがファイルシステムに対して可能になります。この問題はバージョン3.12.3および4.0.3で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.