CVE-2026-45774
Təsvir
compliance-trestle uyğunluğun kod kimi idarə edilməsi üçün nəzərdə tutulmuş alətlər platformasıdır. Versiya 3.12.2 və 4.0.3-dən əvvəl, compliance-trestle kitabxanasının profil idxal mexanizmi `trestle://` URI-lərini və nisbi fayl yollarını onları `trestle_root` ilə birləşdirib `.resolve()` funksiyasını çağırmaqla həll edir, lakin həll edilmiş yolun trestle iş sahəsi daxilində qaldığını təmin etmək üçün heç bir sərhəd yoxlaması aparmır. Hücumçu, serverin fayl sistemindən istənilən faylı oxumaq üçün `imports[].href` hissəsində yol keçidi (path traversal) ardıcıllıqları olan zərərli OSCAL profil YAML faylı hazırlaya bilər. Versiyalar 3.12.3 və 4.0.3 bu problemi aradan qaldırır.
Necə düzəltmək olar
- compliance-trestle4.0.3, 3.12.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| compliance-trestlePyPI | 4.0.0 ≤ v < 4.0.3, v < 3.12.2 | 4.0.3, 3.12.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.