CVE-2026-41901
Thymeleaf: Reconhecimento inadequado de padrões de sintaxe não autorizados em expressões Thymeleaf em sandbox
- Publicado
- 12 de mai. de 2026
- Atualizado
- 13 de mai. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 17 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 44,4%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Thymeleaf é um motor de templates Java do lado do servidor para ambientes web e autônomos. Antes da versão 3.1.5.RELEASE, existe uma vulnerabilidade de bypass de segurança nos mecanismos de execução de expressões do Thymeleaf. Embora a biblioteca forneça mecanismos para evitar a execução de expressões potencialmente perigosas em alguns contextos específicos de sandbox (restritos), ela falha em neutralizar adequadamente certas construções que permitem que esse tipo de expressão seja executado. Se um desenvolvedor de aplicações passar ao motor de templates variáveis não sanitizadas que contenham tais expressões, e esses valores forem usados em contextos de sandbox dentro dos templates, essas expressões podem ser executadas, alcançando Injeção de Template do Lado do Servidor (SSTI). Esta vulnerabilidade é corrigida na versão 3.1.5.RELEASE.
Fontes
CVE-2026-41901
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.