CVE-2026-61707

Nome do Software Vulnerável e Versões Afetadas SOCFortress CoPilot versões anteriores a 0.1.76

Descrição Usuários de baixo privilégio com a função customer user podem fazer upload de modelos de relatório de caso maliciosos através do endpoint /case-report-template/upload. O sistema valida apenas o tipo MIME derivado do nome do arquivo e não valida o conteúdo do modelo. Como os modelos são armazenados em um repositório global sem escopo de customer code, um invasor pode substituir modelos padrão legítimos. Quando um administrador ou analista gera um relatório usando os endpoints /api/incidents/report/generate-report-docx ou /generate-report-pdf, o backend executa as expressões Jinja controladas pelo invasor como Python. Isso ocorre porque a função render document with context em backend/app/incidents/services/reports.py utiliza DocxTemplate sem sandbox, e a função render html template em backend/app/incidents/services/reports pdf.py utiliza um Environment não isolado e sem autoescaping. Em implantações afetadas, isso permite a execução remota de código com privilégios de root, expondo dados de incidentes, dados de SIEM e credenciais de conectores armazenadas de todos os locatários. Além disso, o renderizador HTML/PDF permite a leitura de arquivos locais e requisições a serviços internos.

Recomendações Atualize o SOCFortress CoPilot para a versão 0.1.76.