Fides Webserver Jinja 电子邮件模板引擎中的 SSTI 远程代码执行漏洞 (CVE-2024-45053)
CVE编号
CVE-2024-45053利用情况
暂无补丁情况
N/A披露时间
2024-09-05漏洞描述
Fides是一个开源的隐私工程平台。在版本2.19.0至版本2.44.0之前，电子邮件模板功能使用Jinja2，但没有进行适当的输入清理或渲染环境限制，这允许特权用户进行服务器端模板注入，进而实现远程代码执行。特权用户指的是具有默认“所有者”或“贡献者”角色的管理界面用户，他们可以升级访问权限并在底层Fides Web服务器容器上执行代码，该容器执行Jinja模板渲染功能。该漏洞已在Fides版本“2.44.0”中得到修复。建议用户升级到该版本或更高版本以保护其系统免受这一威胁。没有替代的解决方案。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/ethyca/fides/commit/829cbd9cb5ef9c814fbac1ed6800e8d939d359c5 | |
| https://github.com/ethyca/fides/security/advisories/GHSA-c34r-238x-f7qx |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | ethyca | fides | * | From (including) 2.19.0 | Up to (excluding) 2.44.0 | ||||
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 高
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-94 | 对生成代码的控制不恰当（代码注入） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论