CVE-2026-52776

Compliance-trestle (Trestle), uyumluluğu kod olarak yönetmeye yönelik bir araç platformudur. 3.12.4 öncesi sürümlerde ve 4.0.0 ile 4.0.3 arasındaki sürümlerde, trestle'ın uzaktan getirme yollarını sunucu tarafı istek sahteciliğine (SSRF) karşı koruyan URLSecurityValidator, engellemek üzere tasarlandığı loopback, link-local, bulut meta verisi ve iç ağ uç noktalarına erişmek için atlatılabilir. Engelleme listesi, [::ffff:169.254.169.254] gibi IPv4 eşlemeli IPv6 değişmezlerini kanonikleştirmez; bunlar engellenen IPv4 aralıklarıyla hiçbir zaman eşleşmeyen IPv6Address nesnelerine çözümlenir ve Linux'ta ve konteynerler içinde yerel hizmetlere yönlendirilen belirtilmemiş adres 0.0.0.0'ı engellemez. Trestle'ın getirdiği bir OSCAL eserini sağlayabilen veya etkileyebilen bir saldırgan, örneğin içe aktarımları bu atlatma URL'lerinden birine başvuran kötü niyetli bir profil aracılığıyla, HTTPSFetcher ve SFTPFetcher yollarının bulut örnek meta verisi hizmetlerine, loopback arayüzlerine veya iç ana bilgisayarlara bağlanmasına neden olabilir. Bu sorun 3.12.4 ve 4.1.0 sürümlerinde giderilmiştir.