Mistune: Path Traversal über die include-Direktive

Zusammenfassung

Mistune ist eine Python-Bibliothek, die Markdown in HTML umwandelt. In Versionen vor 3.3.0 akzeptiert die include-Direktive von reStructuredText relative und absolute Dateipfade ohne Einschränkung, sodass ein Angreifer, der Markdown an eine Anwendung senden kann, beliebige Dateien lesen kann, auf die der Rendering-Prozess zugreifen darf, und deren Inhalt in der gerenderten Ausgabe erscheint. Der Angriff funktioniert nur, wenn das Include-Plugin aktiviert ist und die Anwendung vom Angreifer kontrolliertes Markdown rendert; das Advisory beschreibt dies als dokumentierte Konfiguration, nicht als Standardeinstellung.

Betroffen

• mistune vor 3.3.0 (pip-Paket)
• VulnCheck gibt den Bereich mit allen Versionen unter 3.3.0 an; ältere Zweige wurden nicht verifiziert
• Nur Anwendungen mit aktiviertem Include-Direktiven-Plugin sind betroffen

Behoben in

• Auf mistune 3.3.0 oder neuer aktualisieren

Umgehung

• Keine vom Hersteller genannte Workaround-Massnahme.
• Das Include-Direktiven-Plugin deaktivieren (beseitigt die Exposition).
• Kein unvertrauenswürdiges Markdown mit aktiviertem Include-Plugin rendern.
• Den Dateisystemzugriff des Rendering-Prozesses einschränken.

Ausnutzung

• Es wurde keine Ausnutzung in freier Wildbahn gefunden.
• VulDB gibt an, dass kein Exploit verfügbar ist.
• Das Herstelleradvisory beschreibt die Schwachstelle inklusive eines Reproduktionsaufbaus.
• Der Status im CISA KEV wurde nicht geprüft.

Unsere Empfehlung

• Alle Mistune-Installationen inventarisieren, einschliesslich Lockfiles und ausgerollter Manifeste.
• Auf mistune 3.3.0 oder neuer aktualisieren.
• Prüfen, ob das Include-Direktiven-Plugin aktiviert ist und ob benutzerdefiniertes Markdown gerendert wird; das Plugin deaktivieren, wenn es nicht benötigt wird.
• Dateizugriffe des Rendering-Prozesses und die Exposition von Geheimnissen überprüfen.
• Logs auf ungewöhnliche include-Direktiven in übermittelten Inhalten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9jjx-3hq3-hx4j github.com
• VulnCheck Advisory: Mistune before 3.3.0 Path Traversal via include Directive www.vulncheck.com
• Ubuntu Security: CVE-2026-115353 ubuntu.com
• VulDB entry 425400 vuldb.com
• GitLab Advisory: CVE-2026-115355 (related Include directive issue) advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:04.