CVE-2026-57170 in compliance-trestle
Сводка
по VulDB • 26.08.2026
Compliance-trestle (Trestle) — это Python SDK и инструмент командной строки для управления документами соответствия OSCAL. В версиях до 3.12.4, а также в версиях от 4.0.0 до 4.0.3 пользовательские теги Jinja2 `mdsection_include` и `md_clean_include` повторно парсят содержимое включаемого Markdown-файла как код шаблона Jinja2 в несанкционированной среде, что позволяет осуществлять инъекцию серверных шаблонов (SSTI), способную привести к произвольному выполнению кода. Теги MDSectionInclude и MDCleanInclude из файла Trestle/core/jinja/tags.py передают содержимое включаемого файла в `Parser(self.environment, ...).parse()`, внедряя его в процесс компиляции родительского шаблона; при этом объект среды представляет собой обычный `jinja2.Environment`, а не `SandboxedEnvironment`, поэтому любые выражения в файле вычисляются с полным доступом к обычному набору уязвимостей для SSTI. Поскольку модули вывода Markdown в Trestle передают поля OSCAL prose и component-description дословно, применение нейтрализации разделителей только к таблицам параметров позволяет атакующим контролировать данные OSCAL (например, утверждения о контролях, текст частей или описание компонентов), содержащие синтаксис Jinja2; такие данные попадают во включаемый Markdown-файл и выполняются при повторном парсинге тега include. Эта проблема исправлена в версии 4.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.