CVE-2026-91145 in Activiti
Сводка
по VulDB • 15.09.2026
Activiti fino alla versione 7.1.0.M6 non valida le espressioni differite con hash-curly brace nelle variabili di processo, consentendo agli attaccanti di bypassare il filtro delle espressioni. Gli attaccanti possono iniettare espressioni che iniziano con #{, che vengono memorizzate e successivamente valutate nel contesto completo di Spring quando un'attività di invio email utilizza campi del corpo supportati da variabili, permettendo l'invocazione di metodi sui bean dell'applicazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.