Tugtainer는 Docker 컨테이너 업데이트를 자동화하기 위한 자체 호스팅 앱입니다. 1.30.2 이전 버전은 알림 템플릿 기능의 SSTI(서버 측 템플릿 삽입)에 취약합니다. 'title_template' 및 'body_template' 필드는 샌드박스 처리되지 않은 'jinja2.Environment'를 사용하여 렌더링되므로 인증된 모든 사용자가 컨테이너 내부의 루트로 임의의 OS 명령을 실행할 수 있습니다. 버전 1.30.2에서는 문제가 해결되었습니다.
Tugtainer는 Docker 컨테이너 업데이트를 자동화하기 위한 자체 호스팅 앱입니다. 1.30.2 이전 버전은 알림 템플릿 기능의 SSTI(서버 측 템플릿 삽입)에 취약합니다. 'title_template' 및 'body_template' 필드는 샌드박스 처리되지 않은 'jinja2.Environment'를 사용하여 렌더링되므로 인증된 모든 사용자가 컨테이너 내부의 루트로 임의의 OS 명령을 실행할 수 있습니다. 버전 1.30.2에서는 문제가 해결되었습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 99.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 99.00 |
VPI 공식 vpi-v1 기준