CVE-2026-40478

Kritik

Təsvir

Thymeleaf veb və müstəqil mühitlər üçün server tərəfli Java şablon mühərrikidir. 3.1.3.RELEASE və daha əvvəlki versiyalarda ifadələrin icra mexanizmlərində təhlükəsizlikdən yan keçmə zəifliyi mövcuddur. Kitabxana ifadə inyeksiyasının qarşısını almaq üçün mexanizmlər təqdim etsə də, icazəsiz ifadələrin icrasına şərait yaradan xüsusi sintaksis nümunələrini düzgün neytrallaşdıra bilmir. Əgər tətbiq tərtibatçısı yoxlanılmamış istifadəçi girişini birbaşa şablon mühərrikinə ötürərsə, autentifikasiya olunmamış uzaq hücumçu kitabxananın qorumalarını yan keçərək Server-Side Template Injection (SSTI) həyata keçirə bilər. Bu problem 3.1.4.RELEASE versiyasında aradan qaldırılmışdır.

CiddilikKritik

CVSS9.0

İstismar ehtimalı—

MəhsulThymeleaf

Dərc17 apr 2026

İlk görülmə17 apr 2026

Zəiflik növüCWE-917İfadə dili inyeksiyası CWE-1336CWE-1336

Necə düzəltmək olar

Yeniləyin

thymeleaf thymeleaf3.1.4 və ya daha yeni versiya
org.thymeleaf:thymeleaf3.1.4.RELEASE və ya daha yeni versiya
org.thymeleaf:thymeleaf-spring53.1.4.RELEASE və ya daha yeni versiya
org.thymeleaf:thymeleaf-spring63.1.4.RELEASE və ya daha yeni versiya

İstehsalçı bildirişləri

access.redhat.com/errata/RHSA-2026:21772

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
thymeleaf thymeleaf	v < 3.1.4	3.1.4
org.thymeleaf:thymeleafMaven	v < 3.1.4.RELEASE	3.1.4.RELEASE
org.thymeleaf:thymeleaf-spring5Maven	v < 3.1.4.RELEASE	3.1.4.RELEASE
org.thymeleaf:thymeleaf-spring6Maven	v < 3.1.4.RELEASE	3.1.4.RELEASE

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.