CVE-2023-38286 in Thymeleaf

Résumé

par VulDB • 11/07/2026

Thymeleaf jusqu'à la version 3.1.1.RELEASE, tel qu'utilisé dans spring-boot-admin (également connu sous le nom de Spring Boot Admin) jusqu'à la version 3.1.1 et d'autres produits, permet un contournement du sandbox via des HTML manipulés ad hoc. Cela peut être pertinent pour une injection SSTI (Server Side Template Injection) et l'exécution de code dans spring-boot-admin si MailNotifier est activé et qu'il existe un accès en écriture aux variables d'environnement via l'interface utilisateur.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Réserver: 14/07/2023
• Divulgation: 14/07/2023
• Modérer: accepté
• Entrée: VDB-234134
• CPE: prêt
• CWE: CWE-265 (confirmé)
• CVSS: 7.5 (NVD)
• EPSS: 0.00875
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-38286
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-38286
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-38286/