CVE-2026-46380
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
compliance-trestle przed wersjami 3.12.2 i 4.0.3 zawiera podatność w metodzie HTTPSFetcher._do_fetch(), która przekazuje adres URL dostarczony przez użytkownika bezpośrednio do requests.get() bez walidacji. Umożliwia to atakującemu przeprowadzenie ataku SSRF (Server-Side Request Forgery), celując w wewnętrzne usługi lub endpointy metadanych chmury.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych lub danych uwierzytelniających chmury, co może prowadzić do naruszenia bezpieczeństwa infrastruktury.
Rekomendacja
Zaleca się aktualizację compliance-trestle do wersji 3.12.2 lub 4.0.3, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
compliance-trestle is a tooling platform for managing compliance as code. Prior to versions 3.12.2 and 4.0.3, the HTTPSFetcher._do_fetch() method passes a user-supplied URL directly to requests.get() without validation. This allows an attacker to perform Server-Side Request Forgery, targeting internal services or cloud metadata endpoints. Versions 3.12.2 and 4.0.3 fix the issue.