CVE-2026-41901 in Thymeleaf
Zusammenfassung
von VulDB • 13.05.2026
Thymeleaf ist eine serverseitige Java-Vorlagen-Engine für Web- und Standalone-Umgebungen. Vor Version 3.1.5.RELEASE besteht in den Mechanismen zur Auswertung von Ausdrücken in Thymeleaf eine Sicherheitsumgehungsschwachstelle. Obwohl die Bibliothek Mechanismen bereitstellt, um die Ausführung potenziell gefährlicher Ausdrücke in bestimmten, spezifischen Sandboxed-Einschränkungen (restricted contexts) zu verhindern, gelingt es ihr nicht, bestimmte Konstrukte ordnungsgemäß zu neutralisieren, die die Ausführung solcher Ausdrücke ermöglichen. Wenn ein Anwendungsentwickler der Vorlagen-Engine ungesäuberte Variablen übergibt, die derartige Ausdrücke enthalten, und diese Werte in Sandboxed-Kontexten innerhalb der Vorlagen verwendet werden, können diese Ausdrücke ausgeführt werden, was zu Server-Side Template Injection (SSTI) führt. Diese Schwachstelle wurde in Version 3.1.5.RELEASE behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.