LMFDB
LMFDB: iniezione di template Jinja permette di eseguire comandi sul server
Il problema, secondo i dati ufficiali
- Nella funzione render_knowl di LMFDB c'è una vulnerabilità di server-side template injection: un attaccante può inserire espressioni Jinja tramite i parametri della richiesta.
- Basta inviare valori costruiti ad hoc nella query string oppure dati 'content' all'indirizzo /knowledge/render/<ID> per raggiungere i builtin di Python ed eseguire comandi del sistema operativo con l'account dell'applicazione web.
- Può essere sfruttata via rete da attaccanti non autenticati, quindi senza bisogno di un account.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Fonti ufficiali
- github.com — avviso del produttore
- github.com — patch
- github.com — patch
- github.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
LMFDB before commit 01829bd contains a server-side template injection vulnerability in the render_knowl function that allows unauthenticated attackers to inject Jinja expressions via request parameters. Attackers can supply crafted query-string values or 'content' data to /knowledge/render/<ID> to reach Python builtins and execute operating system commands as the web application account.
Non sai se ti riguarda?
Se usi LMFDB e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 5 novembre 2026. Prima di intervenire verifica l'avviso del produttore.