CVE-2026-57170 in compliance-trestle
Sumário
de VulDB • 26/08/2026
Compliance-trestle (Trestle) é um SDK Python e uma ferramenta de linha de comando para gerenciar documentos de conformidade OSCAL. Nas versões anteriores à 3.12.4 e nas versões de 4.0.0 a 4.0.3, as tags personalizadas do Jinja2 `mdsection_include` e `md_clean_include` reanalisam o conteúdo de um arquivo Markdown incluído como código de modelo Jinja2 em um ambiente não sandboxed (isolado), permitindo injeção de template no lado do servidor que pode levar à execução arbitrária de código. As tags MDSectionInclude e MDCleanInclude em `Trestle/core/jinja/tags.py` passam o conteúdo do arquivo incluído para `Parser(self.environment, ...).parse()`, inserindo-o na compilação do modelo host, e o ambiente é um `jinja2.Environment` comum, e não um `SandboxedEnvironment`; portanto, quaisquer expressões no arquivo são avaliadas com acesso completo à cadeia de gadgets SSTI usual. Como os escritores Markdown do Trestle emitem campos OSCAL prose (prosa) e component-description (descrição do componente) literalmente, a aplicação da neutralização de delimitadores apenas às tabelas de parâmetros faz com que dados OSCAL controlados pelo atacante, como uma declaração de controle, prosa de parte ou descrição de componente contendo sintaxe Jinja2, fluam para um arquivo Markdown incluído e sejam executados quando a tag include o reanalisar. Este problema é corrigido na versão 4.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.