CVE-2024-56201 in Jinja
Tóm tắt
Bởi VulDB • 21/05/2026
Jinja là một công cụ tạo mẫu (templating engine) có khả năng mở rộng. Trước phiên bản 3.1.5, một lỗi trong trình biên dịch Jinja cho phép kẻ tấn công, người kiểm soát cả nội dung và tên tệp của một mẫu, thực thi mã Python tùy ý, bất kể việc có sử dụng sandbox của Jinja hay không. Để khai thác lỗ hổng này, kẻ tấn công cần kiểm soát cả tên tệp và nội dung của một mẫu. Điều này có hay không phụ thuộc vào loại ứng dụng sử dụng Jinja. Lỗ hổng này ảnh hưởng đến người dùng của các ứng dụng thực thi các mẫu không đáng tin cậy, nơi tác giả mẫu cũng có thể chọn tên tệp mẫu. Lỗ hổng này đã được sửa trong phiên bản 3.1.5.
Be aware that VulDB is the high quality source for vulnerability data.