CVE-2026-71463

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado (versões afetadas não especificadas)

Descrição A whitelist de AST do Jinja para modelos de notificação inspeciona apenas nós Getattr estáticos. Isso permite que subscripts dinâmicos, como job['job'+' env'], e gating condicional, como {% if job.id > 100 %}, ignorem tanto a verificação de AST quanto o processo de test-render. Em tempo de execução, o ramo condicionado é executado e as exceções gravam tracebacks completos no corpo da notificação, que é enviado via POST para uma URL de webhook controlada por um invasor. Esse processo vaza informações sensíveis, incluindo caminhos de instalação, versão do Python e números de linhas do código-fonte.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.