CVE-2026-123198: SSTI critica in LMFDB con RCE

Server-side template injection critica in LMFDB consente l'esecuzione di comandi senza autenticazione. CVSS 9,8.

La CVE-2026-123198 è una server-side template injection (SSTI) nella funzione render_knowl del progetto LMFDB (The L-functions and Modular forms Database), un database di ricerca open-source utilizzato per lo studio delle funzioni L. La falla consente a utenti non autenticati di iniettare codice Jinja2 tramite parametri HTTP verso l'endpoint /knowledge/render/<ID>, raggiungendo Python builtins ed eseguire comandi del sistema operativo con i privilegi dell'account web application.

Il CVSS è 9,8 (critical). La vulnerabilità è stata resa pubblica su NVD il 5 novembre 2026, appena 3 giorni fa. Il fix è identificato nel commit 01829bd del repository ufficiale. Su X si registra attività (1 post, 2 interazioni) che segnala la falla; i testi sono NON_VERIFICATI, ma la discussione pubblica è confermata. Lo stato richiede azione immediata da parte di sysadmin e CISO che gestiscono istanze LMFDB.

Per i difensori: (1) Verificare subito se LMFDB è presente in produzione o su sistemi accessibili da rete. (2) Se sì: applicare l'aggiornamento a commit 01829bd o successivo senza ritardo. (3) Se l'aggiornamento non può essere immediato: monitorare i log di accesso su /knowledge/render/ per rilevare tentativi di exploit, implementare WAF rules che bloccano richieste parametriche verso tale endpoint. (4) Nessuna mitigazione efficace esiste senza patch.

In sintesi

Cosa: Server-side template injection nella funzione render_knowl di LMFDB (The L-functions and Modular forms Database). Utenti non autenticati possono iniettare espressioni Jinja tramite parametri HTTP verso /knowledge/render/<ID> e raggiungere Python builtins.
Gravità: CVSS 9,8 (critical). Consente esecuzione di comandi del sistema operativo nel contesto dell'account utente dell'applicazione web. Impatto massimo su confidenzialità, integrità e disponibilità.
Versioni interessate: LMFDB prima del commit 01829bd. Versione specifica non riportata nei dati ufficiali NVD.
Correzione: Aggiornare a commit 01829bd o versione successiva dal repository ufficiale di LMFDB.
Stato: Pubblicato su NVD il 2026-11-05. Fix disponibile e identificato. Su social media 1 post e 2 interazioni; testi non verificati ma discussione pubblica confermata.
Azione: Verificare subito se LMFDB è in produzione. Se presente: aggiornare immediatamente a commit 01829bd. Se aggiornamento ritardato: monitorare log di /knowledge/render/, implementare WAF rules che bloccano richieste parametriche. Nessuna mitigazione efficace senza patch.

Fonti: NVD, CVE-2026-123198

← Tutti gli articoli