CVE-2026-40478
Açıklama
Thymeleaf, web ve bağımsız ortamlar için sunucu taraflı bir Java şablon motorudur. 3.1.3.RELEASE ve önceki sürümler, ifade yürütme mekanizmalarında bir güvenlik atlatma zafiyeti içermektedir. Kütüphane, ifade enjeksiyonunu önlemek için mekanizmalar sağlasa da, yetkisiz ifadelerin yürütülmesine izin veren belirli sözdizimi kalıplarını düzgün şekilde etkisiz hale getirememektedir. Bir uygulama geliştiricisi, doğrulanmamış kullanıcı girişini doğrudan şablon motoruna aktarırsa, kimliği doğrulanmamış uzak bir saldırgan kütüphanenin korumalarını atlatarak Sunucu Taraflı Şablon Enjeksiyonu (SSTI) gerçekleştirebilir. Bu sorun 3.1.4.RELEASE sürümünde giderilmiştir.
Nasıl düzeltilir
- thymeleaf thymeleaf3.1.4 ya da sonraki bir sürüm
- org.thymeleaf:thymeleaf3.1.4.RELEASE ya da sonraki bir sürüm
- org.thymeleaf:thymeleaf-spring53.1.4.RELEASE ya da sonraki bir sürüm
- org.thymeleaf:thymeleaf-spring63.1.4.RELEASE ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thymeleaf thymeleaf | v < 3.1.4 | 3.1.4 |
| org.thymeleaf:thymeleafMaven | v < 3.1.4.RELEASE | 3.1.4.RELEASE |
| org.thymeleaf:thymeleaf-spring5Maven | v < 3.1.4.RELEASE | 3.1.4.RELEASE |
| org.thymeleaf:thymeleaf-spring6Maven | v < 3.1.4.RELEASE | 3.1.4.RELEASE |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.