CVE-2025-1686

Nome do Software Vulnerável e Versões Afetadas io.pebbletemplates:pebble versões (versões afetadas não especificadas)

Descrição A vulnerabilidade permite que um atacante controle nomes de arquivos ou caminhos por meio da tag include, potencialmente acessando arquivos locais sensíveis, como /etc/passwd ou /proc/1/environ, ao criar modelos de notificação maliciosos.

Recomendações Para mitigar este problema, desative a macro include no Pebble Templates utilizando o seguinte código Java:

new PebbleEngine.Builder()
      .registerExtensionCustomizer(new DisallowExtensionCustomizerBuilder()
          .disallowedTokenParserTags(List.of("include"))
          .build())
      .build();