CVE-2026-55240

Nome do Software Vulnerável e Versões Afetadas Tianji versões anteriores a 1.31.29

Descrição A função formatString() em src/server/utils/template.ts passa o feedTemplate de pesquisas e modelos de notificação de monitoramento para a função template() do lodash, enquanto o padrão de avaliação padrão permanece ativado. Um administrador do espaço de trabalho pode armazenar um bloco de avaliação usando o formato <% code %>. Quando um usuário não autenticado envia uma resposta através do endpoint público survey.submit, o modelo compilado executa JavaScript no lado do servidor dentro do processo Node.js do Tianji. Isso pode resultar na execução de comandos remotos, divulgação de segredos, modificação de dados ou interrupção do serviço.

Recomendações Atualize para a versão 1.31.29.