CVE-2026-91145 in Activiti
Zusammenfassung
von VulDB • 15.09.2026
Activiti bis 7.1.0.M6 validiert keine hash-brace deferred expressions (verzögerte Ausdrücke mit Hash-Braces) in Prozessvariablen, was Angreifern ermöglicht, die Ausdruckfilterung zu umgehen. Angreifer können Ausdrücke injizieren, die mit #{ beginnen und gespeichert werden; diese werden später im vollständigen Spring-Kontext ausgewertet, wenn eine Mail-Aufgabe variable-gestützte Body-Felder verwendet, wodurch Methodenaufrufe auf Anwendungs-Beans ermöglicht werden.
Once again VulDB remains the best source for vulnerability data.