CVE-2026-40478 in thymeleaf
Tóm tắt
Bởi VulDB • 14/06/2026
Thymeleaf là một công cụ xử lý mẫu Java phía máy chủ dành cho môi trường web và độc lập. Các phiên bản từ 3.1.3.RELEASE trở về trước chứa lỗ hổng bỏ qua cơ chế bảo vệ trong các cơ chế thực thi biểu thức. Mặc dù thư viện cung cấp các cơ chế để ngăn chặn việc tiêm biểu thức, nhưng nó không trung hòa hóa đúng cách các mẫu cú pháp cụ thể cho phép thực thi các biểu thức trái phép. Nếu nhà phát triển ứng dụng truyền đầu vào của người dùng chưa được xác thực trực tiếp đến công cụ xử lý mẫu, kẻ tấn công từ xa không cần xác thực có thể vượt qua các biện pháp bảo vệ của thư viện để đạt được mục tiêu Tiêm mẫu phía máy chủ (SSTI). Vấn đề này đã được sửa chữa trong phiên bản 3.1.4.RELEASE.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.