dynaconf Afectado por Ejecución Remota de Código (RCE) a través de Evaluación Insegura de Plantillas en el Resolver @jinja

La vulnerabilidad de SSTI en dynaconf permite a un atacante inyectar código malicioso en las plantillas de configuración. Si un atacante puede controlar las fuentes de configuración, como variables de entorno, archivos .env o secretos de CI/CD, puede ejecutar comandos arbitrarios en el sistema operativo subyacente. Esto podría resultar en la toma de control completa del servidor, el robo de datos confidenciales o la interrupción del servicio. La capacidad de recorrer el objeto de ejecución también podría exponer información sensible del entorno de tiempo de ejecución.

Applications and systems that rely on Dynaconf for configuration management, particularly those deployed in environments where configuration sources (environment variables, .env files, CI/CD pipelines) are not adequately secured, are at significant risk. Shared hosting environments and applications using containerized deployments are also particularly vulnerable due to the ease with which configuration values can be manipulated.

• python / server:

import subprocess
import os

# Check Dynaconf version
result = subprocess.run(['pip', 'show', 'dynaconf'], capture_output=True, text=True)
output = result.stdout
if 'Version:' in output:
    version = output.split('Version:')[1].strip().split('\n')[0]
    if version <= '3.2.9':
        print(f'Dynaconf version is vulnerable: {version}')
else:
    print('Dynaconf is not installed or version cannot be determined.')

• linux / server:

# Check Dynaconf version using pip
python3 -c "import dynaconf; print(dynaconf.__version__)"
# Check for suspicious processes
ps aux | grep -i jinja

• generic web: Inspect application logs for any errors or warnings related to Jinja2 template evaluation or unexpected command execution.

1. 2026-03-18Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-03-18
3. Modificada2026-04-14
4. EPSS actualizado2026-03-28

La mitigación principal es actualizar a la versión 3.2.13 de dynaconf o superior, que corrige la vulnerabilidad de SSTI. Si la actualización no es posible de inmediato, se recomienda restringir el acceso a las fuentes de configuración para evitar que los atacantes las manipulen. Además, se debe revisar y endurecer la configuración de las plantillas para evitar la inyección de código. Implementar un WAF (Web Application Firewall) con reglas para detectar y bloquear intentos de inyección de plantillas también puede ayudar a mitigar el riesgo. Monitorear los registros del sistema en busca de patrones sospechosos de ejecución de comandos puede ayudar a detectar ataques en curso.