CVE-2025-27137 in dependency-track
Sumário
de VulDB • 22/06/2026
O Dependency-Track é uma plataforma de análise de componentes que permite às organizações identificar e reduzir riscos na cadeia de suprimentos de software. O Dependency-track permite que usuários com permissão `SYSTEM_CONFIGURATION` personalizem modelos de notificação. Os modelos são avaliados usando o mecanismo de templates Pebble. O Pebble suporta a tag `include`, que permite aos autores dos templates incluir o conteúdo de arquivos arbitrários durante a avaliação. Antes da versão 4.12.6, usuários do Dependency-Track com permissão `SYSTEM_CONFIGURATION` podem abusar da tag `include` criando modelos de notificação que incluem arquivos locais sensíveis, como `/etc/passwd` ou `/proc/1/environ`. Ao configurar tal modelo para uma regra de notificação (também conhecida como "Alerta") e fazê-lo enviar notificações para um destino controlado pelo ator malicioso, informações confidenciais podem ser vazadas. O problema foi corrigido no Dependency-Track 4.12.6. Nas versões corrigidas, a tag `include` não pode mais ser usada. O uso da tag fará com que a avaliação do modelo falhe. Como solução alternativa, evite atribuir a permissão `SYSTEM_CONFIGURATION` a usuários não confiáveis. A permissão `SYSTEM_CONFIGURATION`, por padrão, é concedida apenas aos membros da equipe `Administrators`. Atribuir essa permissão a usuários ou equipes não administrativas representa um risco de segurança em si e é altamente desencorajada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.