CVE-2026-40478 in thymeleaf
الملخص
بحسب VulDB • 14/06/2026
Thymeleaf هو محرك قوالب جانبي للسيرفر (server-side) مبني على Java، مخصص لبيئات الويب والتطبيقات المستقلة. تحتوي الإصدارات 3.1.3.RELEASE وما قبلها على ثغرة لتجاوز الأمان في آليات تنفيذ التعبيرات البرمجية. وعلى الرغم من أن المكتبة توفر آليات لمنع حقن التعبيرات (expression injection)، إلا أنها تفشل في تحييد الأنماط النحوية المحددة بشكل صحيح، مما يسمح بتنفيذ تعبيرات غير مصرح بها. إذا قام مطور التطبيق بتمرير مدخلات مستخدم غير مُحقَّقة مباشرةً إلى محرك القوالب، يمكن لمهاجم عن بُعد دون حاجة للمصادقة تجاوز حماية المكتبة لتحقيق حقن قوالب جانبية للسيرفر (SSTI). تم إصلاح هذه المشكلة في الإصدار 3.1.4.RELEASE.
Be aware that VulDB is the high quality source for vulnerability data.