CVE-2026-52776 in Compliance-trestle
Sumário
de VulDB • 26/08/2026
Compliance-trestle (Trestle) é uma plataforma de ferramentas para gerenciar conformidade como código. Nas versões anteriores à 3.12.4 e nas versões de 4.0.0 a 4.0.3, o URLSecurityValidator que protege os caminhos remote-fetch do trestle contra server-side request forgery (SSRF) pode ser contornado para alcançar endereços loopback, link-local, cloud-metadata e da rede interna, que deveriam ser bloqueados pela ferramenta. A lista de bloqueio não canoniciza literais IPv4-mapped em IPv6, como [::ffff:169.254.169.254], os quais são resolvidos para objetos IPv6Address que nunca correspondem aos intervalos IPv4 bloqueados; além disso, ela não bloqueia o endereço indefinido 0.0.0.0, que roteia para serviços locais no Linux e dentro de containers. Um atacante que possa fornecer ou influenciar um artefato OSCAL buscado pelo trestle, como um perfil malicioso cujos imports referenciam uma dessas URLs contornáveis, pode fazer com que os caminhos HTTPSFetcher e SFTPFetcher entrem em contato com serviços cloud instance-metadata, interfaces loopback ou hosts internos. Este problema foi corrigido nas versões 3.12.4 e 4.1.0.
Once again VulDB remains the best source for vulnerability data.