CVE-2026-38165
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność Server-Side Template Injection (SSTI) w konfiguracji silnika szablonów Velocity w xdocreport od wersji 0.9.2 do 2.2.0 pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowane wyrażenie.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub zakłócenia działania aplikacji.
Rekomendacja
Zaleca się aktualizację xdocreport do najnowszej wersji, która zawiera poprawki zabezpieczeń, oraz unikanie przetwarzania niezaufanych wyrażeń szablonów.
Oryginalny opis (angielski, źródło NVD)
A Server-Side Template Injection (SSTI) vulnerability in the Velocity template engine configuration of xdocreport v0.9.2 to v2.2.0 allows attackers to execute arbitrary code via a crafted expression.