CVE-2026-41901
Açıklama
Thymeleaf, web ve bağımsız ortamlar için sunucu taraflı bir Java şablon motorudur. 3.1.5.RELEASE sürümünden önce, Thymeleaf'in ifade yürütme mekanizmalarında bir güvenlik atlatma zafiyeti bulunmaktadır. Kütüphane, bazı belirli sandbox (kısıtlanmış) bağlamlarda potansiyel olarak tehlikeli ifadelerin yürütülmesini önlemek için mekanizmalar sağlasa da, bu tür ifadelerin yürütülmesine izin veren belirli yapıları düzgün şekilde etkisiz hale getirememektedir. Bir uygulama geliştiricisi, şablon motoruna bu tür ifadeler içeren temizlenmemiş değişkenler aktarırsa ve bu değerler şablonlar içindeki sandbox bağlamlarında kullanılırsa, bu ifadeler yürütülerek Sunucu Taraflı Şablon Enjeksiyonu (SSTI) gerçekleştirilebilir. Bu zafiyet 3.1.5.RELEASE sürümünde giderilmiştir.
Nasıl düzeltilir
- org.thymeleaf:thymeleaf3.1.5.RELEASE ya da sonraki bir sürüm
- org.thymeleaf:thymeleaf-spring53.1.5.RELEASE ya da sonraki bir sürüm
- org.thymeleaf:thymeleaf-spring63.1.5.RELEASE ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.thymeleaf:thymeleafMaven | v < 3.1.5.RELEASE | 3.1.5.RELEASE |
| org.thymeleaf:thymeleaf-spring5Maven | v < 3.1.5.RELEASE | 3.1.5.RELEASE |
| org.thymeleaf:thymeleaf-spring6Maven | v < 3.1.5.RELEASE | 3.1.5.RELEASE |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.