cveboard Feed RSS

CVE-2026-40477

CVE.org · Publicado

Histórico de CVEsJSONInstruções para IA

Status do registro
Publicado
Ano do identificador (não é o ano de publicação)
2026
Publicação na fonte
Atualização na fonte
Importado pelo cveboard
Snapshot da fonte
cve_2026-10-24_midnight_baseline ·

Texto simples

Texto da CNA em inglês

Improper restriction of the scope of accessible objects in Thymeleaf expressions

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly restrict the scope of accessible objects, allowing specific potentially sensitive objects to be reached from within a template. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.

Fatos de produtos e versões por escopo

Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.

Exploração desconhecida; este catálogo não avalia exploração.

thymeleaf

Fornecedor
thymeleaf
Produto
thymeleaf
Plataformas
Desconhecido
Status padrão
Desconhecido
thymeleaf · Fatos de produtos e versões por escopo
Versão (version)Status (status)Esquema de versões (versionType)Fim exclusivo (lessThan)Fim inclusivo (lessThanOrEqual)Mudanças de status (at → status)
< 3.1.4.RELEASEaffectedIndisponívelIndisponívelIndisponívelNenhuma listada

org.thymeleaf:thymeleaf-spring5

Fornecedor
thymeleaf
Produto
org.thymeleaf:thymeleaf-spring5
Plataformas
Desconhecido
Status padrão
Desconhecido
org.thymeleaf:thymeleaf-spring5 · Fatos de produtos e versões por escopo
Versão (version)Status (status)Esquema de versões (versionType)Fim exclusivo (lessThan)Fim inclusivo (lessThanOrEqual)Mudanças de status (at → status)
< 3.1.4.RELEASEaffectedIndisponívelIndisponívelIndisponívelNenhuma listada

org.thymeleaf:thymeleaf-spring6

Fornecedor
thymeleaf
Produto
org.thymeleaf:thymeleaf-spring6
Plataformas
Desconhecido
Status padrão
Desconhecido
org.thymeleaf:thymeleaf-spring6 · Fatos de produtos e versões por escopo
Versão (version)Status (status)Esquema de versões (versionType)Fim exclusivo (lessThan)Fim inclusivo (lessThanOrEqual)Mudanças de status (at → status)
< 3.1.4.RELEASEaffectedIndisponívelIndisponívelIndisponívelNenhuma listada