CVE-2025-27137 in dependency-track
Сводка
по VulDB • 25.06.2026
Dependency-Track — это платформа анализа компонентов, которая позволяет организациям выявлять и снижать риски в цепочке поставок программного обеспечения. Dependency-Track предоставляет пользователям с разрешением `SYSTEM_CONFIGURATION` возможность настраивать шаблоны уведомлений. Шаблоны обрабатываются с помощью движка Pebble template engine. Pebble поддерживает тег `include`, который позволяет авторам шаблонов включать содержимое произвольных файлов в процессе обработки. До версии 4.12.6 пользователи Dependency-Track, обладающие разрешением `SYSTEM_CONFIGURATION`, могут злоупотреблять тегом `include`, создавая шаблоны уведомлений, которые включают чувствительные локальные файлы, такие как `/etc/passwd` или `/proc/1/environ`. Настроив такой шаблон для правила уведомления (также известного как «Alert») и направив уведомления в место, контролируемое злоумышленником, можно получить доступ к конфиденциальной информации. Проблема исправлена в версии Dependency-Track 4.12.6. В исправленных версиях тег `include` больше не может быть использован; попытка его использования приведет к ошибке при обработке шаблона. В качестве временного решения рекомендуется избегать предоставления разрешения `SYSTEM_CONFIGURATION` недоверенным пользователям. По умолчанию это разрешение предоставляется только членам команды `Administrators`. Предоставление этого права нефункциональным пользователям или командам само по себе является риском для безопасности и настоятельно не рекомендуется.
Be aware that VulDB is the high quality source for vulnerability data.