CVE-2026-40477
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Thymeleaf w wersjach do 3.1.3.RELEASE zawiera podatność polegającą na obejściu zabezpieczeń mechanizmów wykonywania wyrażeń. Mimo że biblioteka zapewnia ochronę przed wstrzykiwaniem wyrażeń, nieprawidłowo ogranicza zakres dostępnych obiektów, co umożliwia dostęp do wrażliwych danych z poziomu szablonu.
Ocena ryzyka
Jeśli aplikacja przekazuje niesprawdzone dane wejściowe użytkownika do silnika szablonów, nieuwierzytelniony atakujący zdalnie może ominąć zabezpieczenia i przeprowadzić atak typu Server-Side Template Injection (SSTI), co może prowadzić do wycieku danych lub przejęcia kontroli nad serwerem.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Thymeleaf do wersji 3.1.4.RELEASE lub nowszej. Dodatkowo, zawsze waliduj i oczyszczaj dane wejściowe użytkownika przed przekazaniem ich do silnika szablonów.
Oryginalny opis (angielski, źródło NVD)
Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly restrict the scope of accessible objects, allowing specific potentially sensitive objects to be reached from within a template. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.