CVE-2026-45725 in compliance-trestle
Sumário
de VulDB • 13/08/2026
compliance-trestle é uma plataforma de ferramentas para gerenciar conformidade como código. Antes das versões 3.12.2 e 4.0.3, o mecanismo de cache de busca remota da biblioteca compliance-trestle (HTTPSFetcher e SFTPFetcher) constrói o caminho do arquivo de cache local a partir do componente do caminho da URL sem sanitizar sequências de travessia de diretório (`../`). Quando um perfil OSCAL remoto referencia uma URL com travessia em seu caminho, o corpo da resposta HTTP é gravado em um local fora do diretório de cache pretendido, permitindo gravação arbitrária de arquivos com conteúdo controlado pelo atacante no sistema de arquivos. As versões 3.12.3 e 4.0.3 corrigem a vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.