CVE-2026-91145
Yüksek
Açıklama
7.1.0.M6 sürümü dahil olmak üzere Activiti, süreç değişkenlerindeki hash-brace ertelenmiş ifadelerini doğrulamada başarısız olur ve bu durum saldırganların ifade filtrelemesini atlatmasına olanak tanır. Saldırganlar, bir e-posta görevi değişken destekli gövde alanlarını kullandığında saklanan ve daha sonra tam Spring bağlamında değerlendirilen #{ ile başlayan ifadeler enjekte ederek uygulama bean'leri üzerinde yöntem çağrımı yapabilirler.
ÖnemYüksek
CVSS7.1
İstismar olasılığı—
ÜrünActiviti
Yayın14 Eyl 2026
İlk görülme14 Eyl 2026
Zayıflık türüCWE-917İfade dili enjeksiyonu
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Activiti Activiti | v ≤ 7.1.0.M6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.