PT-2026-44731 · Trestle · Trestle

CVE-2026-46380 · Publicado 2026-05-28 · Atualizado 2026-07-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Trestle (versões afetadas não especificadas)

Description Problemas de segurança foram descobertos no módulo trestle/core/remote/cache.py. A função HTTPSFetcher. do fetch() passa uma URL fornecida pelo usuário diretamente para requests.get() sem validação, permitindo Server-Side Request Forgery (SSRF), o que possibilita que atacantes atinjam serviços internos ou endpoints de metadados de nuvem. Além disso, a lógica de cache para HTTPSFetcher e LocalFetcher não sanitiza caminhos de URI, resultando em path traversal. Isso permite a leitura arbitrária de arquivos via protocolo file:// ou a gravação de arquivos de cache fora do diretório pretendido. Esses problemas podem ser encadeados para exfiltrar credenciais de nuvem sensíveis ou comprometer ambientes de CI/CD.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-46380

GHSA-W76H-Q7C6-JPJP

PYSEC-2026-2427

Produtos afetados

Trestle

Referências · 9

• https://github.com/oscal-compass/compliance-trestle · Nota
• https://github.com/oscal-compass/compliance-trestle/security/advisories/GHSA-w76h-q7c6-jpjp · Nota
• https://github.com/oscal-compass/compliance-trestle/commit/53de5e75332888ea54f5da41d4c7859bb1d608e1 · Nota
• https://github.com/oscal-compass/compliance-trestle/commit/5c65c5926fe7ca908b9c1d281f904e7d97ba8310 · Nota
• https://osv.dev/vulnerability/GHSA-w76h-q7c6-jpjp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-46380 · Nota de Segurança
• https://github.com/advisories/GHSA-w76h-q7c6-jpjp · Nota
• https://osv.dev/vulnerability/PYSEC-2026-2427 · Aviso do Fabricante
• https://pypi.org/project/compliance-trestle · Nota