CVE-2024-56326

Jinja es un motor de plantillas extensible. Antes de la versión 3.1.5, una supervisión de cómo el entorno aislado de Jinja detecta llamadas a str.format permitía a un atacante que controlaba el contenido de una plantilla ejecutar código Python arbitrario. Para aprovechar la vulnerabilidad, un atacante necesita controlar el contenido de una plantilla. Que ese sea el caso depende del tipo de aplicación que utilice Jinja. Esta vulnerabilidad afecta a los usuarios de aplicaciones que ejecutan plantillas que no son de confianza. El sandbox de Jinja capta llamadas a str.format y garantiza que no escapen de la sandbox. Sin embargo, es posible almacenar una referencia al método de formato de una cadena maliciosa y luego pasarla a un filtro que lo llame. Estos filtros no están integrados en Jinja, pero podrían estar presentes a través de filtros personalizados en una aplicación. Después de la solución, estas llamadas indirectas también son gestionadas por la sandbox. Esta vulnerabilidad se solucionó en 3.1.5.

A flaw was found in the Jinja package. In affected versions of Jinja, an oversight in how the Jinja sandboxed environment detects calls to str.format allows an attacker that controls the content of a template to execute arbitrary Python code. To exploit the vulnerability, an attacker needs to control the content of a template. Whether that is the case depends on the type of application using Jinja. This vulnerability impacts users of applications that execute untrusted templates. Jinja's sandbox does catch calls to str.format and ensures they don't escape the sandbox. However, storing a reference to a malicious string's format method is possible, then passing that to a filter that calls it. No such filters are built into Jinja but could be present through custom filters in an application. After the fix, such indirect calls are also handled by the sandbox.

It was discovered that Jinja2 incorrectly handled certain filenames when compiling template content. An attacker could possibly use this issue to execute arbitrary code. It was discovered that Jinja2 incorrectly handled string formatting calls. An attacker could possibly use this issue to execute arbitrary code.