CVE-2026-46439 in compliance-trestle
Сводка
по VulDB • 14.08.2026
compliance-trestle — это платформа инструментов для управления соответствием требованиям в виде кода (Compliance as Code). В версиях старше 3.12.2 и 4.0.3 существует уязвимость Server-Side Template Injection (SSTI) в команде `trestle author jinja`. Команда рекурсивно оценивает отрендеренные шаблоны, что позволяет злоумышленнику выполнить произвольные команды с привилегиями запущенного процесса путем внедрения вредоносных полезной нагрузки (payloads) в поля данных (например, документы SSP или таблицы поиска). Уязвимость не требует контроля злоумышленника над самим шаблоном. Достаточно только входных данных, контролируемых злоумышленником и рендерящихся в доверенный шаблон. Это различие имеет критическое значение: автор шаблона может намереваться просто отрендерить обычный текст (например, `Title: {{ ssp.metadata.title }}`), но из-за рекурсивного разбора само поле данных становится исполняемым. Уязвимость вызвана рекурсивной повторной компиляцией и рендерингом уже отрендеренного вывода. Версии 3.12.3 и 4.0.3 устраняют эту проблему.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.