CVE-2026-57170 in compliance-trestle
要約
〜によって VulDB • 2026年08月26日
Compliance-trestle (Trestle) は、OSCAL コンプライアンス文書の管理のための Python SDK およびコマンドラインツールです。バージョン 3.12.4 より前および 4.0.0 から 4.0.3 では、カスタム Jinja2 の include タグである mdsection_include と md_clean_include が、サンドボックス化されていない環境で含まれる Markdown ファイルの内容を再度 Jinja2 テンプレートコードとして再解析するため、任意のコード実行につながるサーバーサイドテンプレートインジェクション (SSTI) を引き起こす可能性があります。Trestle/core/jinja/tags.py 内の MDSectionInclude および MDCleanInclude タグは、含まれるファイルの内容を Parser(self.environment, ...).parse() に渡してホストテンプレートのコンパイルに組み込みますが、その環境は SandboxedEnvironment ではなく通常の jinja2.Environment であるため、ファイル内の式は通常 SSTI ガジェットチェーンへのフルアクセスを持つ状態で評価されます。Trestle の Markdown ライターは OSCAL の prose フィールドおよび component-description フィールドをそのまま出力するため、区切り文字の中和がパラメータテーブルに対してのみ適用される場合、Jinja2 構文を含む攻撃者制御下の OSCAL データ（コントロールステートメント、パートのプロース、またはコンポーネントの説明など）が含まれる Markdown ファイルに流れ込み、include タグによって再解析された際に実行されます。この問題はバージョン 4.1.0 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.