CVE-2026-42555

CVE.org · Publicado

Histórico de CVEs JSON Instruções para IA

Status do registro: Publicado
Ano do identificador (não é o ano de publicação): 2026
Publicação na fonte: 14 de mai. de 2026
Atualização na fonte: 14 de mai. de 2026
Importado pelo cveboard: 24 de out. de 2026
Snapshot da fonte: cve_2026-10-24_midnight_baseline · 24 de out. de 2026

Texto da CNA em inglês

Valtimo: SpEL injection via StandardEvaluationContext allows Remote Code Execution by admin users

Valtimo is an open-source business process automation platform. com.ritense.valtimo:document from 12.0.0 to before 12.32.0, com.ritense.valtimo:case from 13.0.0 to before 13.23.0, and com.ritense.valtimo:contract from 13.4.0 to before 13.23.0 evaluate Spring Expression Language (SpEL) expressions from user-supplied input using StandardEvaluationContext, which provides unrestricted access to Java types and methods. An authenticated user with the ADMIN role can achieve Remote Code Execution and credential exfiltration. This vulnerability is fixed in com.ritense.valtimo:document 2.32.0, com.ritense.valtimo:case 13.23.0, and com.ritense.valtimo:contract 13.23.0.

Fatos de produtos e versões por escopo

Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.

Exploração desconhecida; este catálogo não avalia exploração.

valtimo

Fornecedor: valtimo-platform
Produto: valtimo
Plataformas: Desconhecido
Status padrão: Desconhecido

valtimo · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
< 13.23.0	`affected`	Indisponível	Indisponível	Indisponível	Nenhuma listada

case

Fornecedor: com.ritense.valtimo
Produto: case
Plataformas: Desconhecido
Status padrão: Desconhecido

case · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
>= 13.0.0, < 13.23.0	`affected`	Indisponível	Indisponível	Indisponível	Nenhuma listada

contract

Fornecedor: com.ritense.valtimo
Produto: contract
Plataformas: Desconhecido
Status padrão: Desconhecido

contract · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
>= 13.4.0, < 13.23.0	`affected`	Indisponível	Indisponível	Indisponível	Nenhuma listada

document

Fornecedor: com.ritense.valtimo
Produto: document
Plataformas: Desconhecido
Status padrão: Desconhecido

document · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
>= 12.0.0, < 12.32.0	`affected`	Indisponível	Indisponível	Indisponível	Nenhuma listada