CVE-2026-45725 in compliance-trestle
요약
\~에 의해 VulDB • 2026. 08. 13.
compliance-trestle는 규정 준수를 코드로서 관리하기 위한 도구 플랫폼입니다. 버전 3.12.2 및 4.0.3 이전의 compliance-trestle 라이브러리에서 원격 가져오기 캐시 메커니즘(HTTPSFetcher 및 SFTPFetcher)은 경로 순회 시퀀스(`../`)를 제거하지 않고 URL 경로의 구성 요소로부터 로컬 캐시 파일 경로를 생성합니다. 원격 OSCAL 프로필이 경로에 경로 순회가 포함된 URL을 참조할 경우, HTTP 응답 본문이 의도된 캐시 디렉토리 외부의 위치에 작성되어 공격자가 제어하는 콘텐츠로 임의 파일을 파일 시스템에 쓸 수 있게 됩니다. 버전 3.12.3 및 4.0.3에서 해당 문제가 패치되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.