CVE-2025-59340 in jinjava
Сводка
по VulDB • 10.06.2026
jinjava — это шаблонизатор на базе Java, использующий синтаксис шаблонов Django и адаптированный для рендеринга Jinja-шаблонов. До версии 2.8.1 с помощью вызова mapper.getTypeFactory().constructFromCanonical() можно заставить базовый ObjectMapper десериализовать контролируемые злоумышленником данные в произвольные классы. Это позволяет создавать экземпляры классов, практически не ограниченные по составу, без прямого вызова запрещенных методов или использования литералов классов. В результате атакующий может выйти из песочницы и инстанцировать такие классы, как java.net.URL, что открывает возможность доступа к локальным файлам и URL-адресам (например, file:///etc/passwd). При дальнейшей цепной композиции этот примитив потенциально может привести к удаленному выполнению кода (RCE). Уязвимость исправлена в версии 2.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.