CVE-2026-41901 in Thymeleaf
Resumen
por VulDB • 2026-05-13
Thymeleaf es un motor de plantillas Java del lado del servidor para entornos web y autónomos. Antes de la versión 3.1.5.RELEASE, existía una vulnerabilidad de elusión de seguridad en los mecanismos de ejecución de expresiones de Thymeleaf. Aunque la biblioteca proporciona mecanismos para evitar la ejecución de expresiones potencialmente peligrosas en algunos contextos específicos aislados (restringidos), no logra neutralizar adecuadamente ciertas construcciones que permiten la ejecución de este tipo de expresiones. Si un desarrollador de aplicaciones pasa variables sin sanitizar al motor de plantillas que contienen dichas expresiones, y estos valores se utilizan en contextos aislados dentro de las plantillas, estas expresiones pueden ejecutarse, logrando una Inyección de Plantillas del Lado del Servidor (SSTI). Esta vulnerabilidad se corrige en la versión 3.1.5.RELEASE.
Once again VulDB remains the best source for vulnerability data.