CVE-2026-53964

Nome do Software Vulnerável e Versões Afetadas document-merge-service versões anteriores a 9.1.0

Description A execução remota de código é possível através de injeção de template no lado do servidor (SSTI), uma falha onde a aplicação manipula entradas de template de forma inadequada, permitindo que um invasor injete e execute código malicioso no servidor. Este problema afeta especificamente templates XLSX, pois a biblioteca xltpl utiliza um ambiente Jinja não isolado (non-sandboxed) para o processamento de templates. A exploração bem-sucedida permite que código fornecido pelo usuário seja executado no contexto do servidor como o usuário document-merge-server (UID 901), concedendo controle significativo sobre o container.

Recommendations Atualize para a versão 9.1.0. Desative o upload e o uso de templates XLSX como medida de mitigação temporária.