CVE-2025-1686
Açıklama
io.pebbletemplates:pebble paketinin 0 ve 4.1.0 öncesindeki sürümleri, include etiketi aracılığıyla Dosya Adı veya Yolunun Harici Kontrolü zafiyetine sahiptir. Yüksek yetkili bir saldırgan, /etc/passwd veya /proc/1/environ gibi dosyaları dahil etmek için bu etiketten yararlanan kötü amaçlı bildirim şablonları oluşturarak hassas yerel dosyalara erişebilir. Geçici Çözüm Bu zafiyet, Pebble Templates içindeki include makrosu devre dışı bırakılarak hafifletilebilir: java new PebbleEngine.Builder() .registerExtensionCustomizer(new DisallowExtensionCustomizerBuilder() .disallowedTokenParserTags(List.of("include")) .build()) .build();
Nasıl düzeltilir
- pebbletemplates pebble_templates4.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pebbletemplates pebble_templates | v < 4.1.0 | 4.1.0 |
| io.pebbletemplates:pebbleMaven | v ≤ 3.2.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.