FICHE CVE

CVE-2026-46345

Publiée le 2026-08-17 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

La plateforme d'outils compliance-trestle est affectée par une faille de traversée de répertoire (path traversal) dans la commande `trestle author jinja`. Un attaquant ayant un accès local au système peut utiliser des chemins de sortie spécifiquement conçus pour écraser des fichiers arbitraires en dehors de l'espace de travail prévu. Cette exploitation est simple à exécuter et ne nécessite aucun privilège particulier ni interaction de l'utilisateur.

CVSS 3.18.4 ÉLEVÉE

Type de faiblesse

Publiée2026-08-17

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

compliance-trestle is a tooling platform for managing compliance as code. Prior to versions 3.12.2 and 4.0.3, the `-o/--output` argument in `trestle author jinja` allows writing files outside the intended workspace. The application does not properly validate, `../`, `..\`, or absolute paths. This allows arbitrary file write to attacker-controlled locations. Versions 3.12.3 and 4.0.3 patch the issue.