CVE-2026-57170 in compliance-trestle
요약
\~에 의해 VulDB • 2026. 08. 26.
Compliance-trestle(Trestle)는 OSCAL 준수 문서를 관리하기 위한 Python SDK 및 명령줄 도구입니다. 버전 3.12.4 이전과 4.0.0부터 4.0.3까지의 버전에서, 사용자 정의 Jinja2 포함 태그인 mdsection_include와 md_clean_include가 포함된 Markdown 파일의 내용을 샌드박스되지 않은 환경에서 Jinja2 템플릿 코드로 다시 구문 분석하여 서버 측 템플릿 주입(SSTI)을 허용하며, 이는 임의 코드 실행으로 이어질 수 있습니다. Trestle/core/jinja/tags.py에 있는 MDSectionInclude 및 MDCleanInclude 태그는 포함된 파일 내용을 Parser(self.environment, ...).parse()로 전달하여 호스트 템플릿의 컴파일에 스플라이싱합니다. 이때 환경은 샌드박스된 SandboxedEnvironment가 아닌 일반 jinja2.Environment이므로, 파일 내의 모든 표현식은 일반적인 SSTI 가젯 체인에 대한 전체 접근 권한으로 평가됩니다. Trestle의 Markdown 작성기는 OSCAL 서술 및 component-description 필드를 그대로 출력하므로, 매개변수 테이블에만 구분자 중화(delimiter neutralization)를 적용하더라도 공격자가 제어하는 OSCAL 데이터(예: Jinja2 구문을 포함하는 control statement, part prose 또는 component description)가 포함된 Markdown 파일로 유입되어 include 태그가 이를 다시 구문 분석할 때 실행됩니다. 이 문제는 버전 4.1.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.