CVE-2026-34730
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Copier przed wersją 9.14.1 zawiera lukę w funkcji _external_data, która pozwala szablonowi na wczytywanie plików YAML ze ścieżek kontrolowanych przez szablon. Złośliwy szablon może odczytać lokalne pliki YAML dostępne dla użytkownika i ujawnić ich zawartość w renderowanym wyniku.
Ocena ryzyka
Organizacja może być narażona na wyciek poufnych danych, jeśli użytkownicy uruchamiają niezaufane szablony Copier. Atakujący może odczytać pliki konfiguracyjne lub dane wrażliwe.
Rekomendacja
Zaleca się aktualizację Copier do wersji 9.14.1. Należy unikać używania niezaufanych szablonów.
Oryginalny opis (angielski, źródło NVD)
Copier is a library and CLI app for rendering project templates. Prior to version 9.14.1, Copier's _external_data feature allows a template to load YAML files using template-controlled paths. If untrusted templates are in scope, a malicious template can read attacker-chosen YAML-parseable local files that are accessible to the user running Copier and expose their contents in rendered output. This issue has been patched in version 9.14.1.