PT-2026-39237 · Banks · Banks
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
banks versões anteriores a 2.4.2
Description
O Server-Side Template Injection (SSTI) ocorre quando as aplicações passam strings fornecidas pelo usuário diretamente como argumentos de template para a função
Prompt(). Isso acontece porque o software utiliza jinja2.Environment() em um ambiente não isolado (unsandboxed) para renderizar templates de prompt, permitindo que um invasor remoto execute código remotamente (Remote Code Execution - RCE) no sistema hospedeiro. SSTI é uma falha onde um invasor injeta código malicioso em um template que é então executado pelo servidor.Recommendations
Atualize para a versão 2.4.2.
Como medida paliativa temporária, evite passar strings fornecidas pelo usuário como argumento de template para a função
Prompt().Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Banks