PT-2026-80736

CVE-2026-53964

Publicado

2026-08-19

Atualizado

2026-10-03

Descrição por

CVSS 3.1

7.2

Alta

MétricasAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas document-merge-service versões anteriores a 9.1.0

Description A execução remota de código é possível através de injeção de template no lado do servidor (SSTI), uma falha onde a aplicação manipula entradas de template de forma inadequada, permitindo que um invasor injete e execute código malicioso no servidor. Este problema afeta especificamente templates XLSX, pois a biblioteca xltpl utiliza um ambiente Jinja não isolado (non-sandboxed) para o processamento de templates. A exploração bem-sucedida permite que código fornecido pelo usuário seja executado no contexto do servidor como o usuário document-merge-server (UID 901), concedendo controle significativo sobre o container.

Recommendations Atualize para a versão 9.1.0. Desative o upload e o uso de templates XLSX como medida de mitigação temporária.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Sofianeelhor

Tonghuaroot

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-1336: Improper Neutralization of Special Elements Used in a Template Engine