Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-05835

Опубликовано: 15 апр. 2026
Источник: fstec
CVSS3: 9
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость JavaScript-движка Thymeleaf связана с непринятием мер по нейтрализации специальных элементов, используемых в операторе языка выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения
АО «СберТех»

Наименование ПО

Thymeleaf
Platform V IAM SE

Версия ПО

до 3.1.4.RELEASE (Thymeleaf)
до 2.3.1 (Platform V IAM SE)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://github.com/thymeleaf/thymeleaf/security/advisories/GHSA-xjw8-8c5c-9r79
Для Platform V IAM SE:
Обновление до версии Platform V IAM SE 2.3.1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 52%
0.00766
Низкий

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 8.5
redhat
4 месяца назад

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly neutralize specific syntax patterns that allow for the execution of unauthorized expressions. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.

CVSS3: 9
nvd
4 месяца назад

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly neutralize specific syntax patterns that allow for the execution of unauthorized expressions. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.

CVSS3: 9
github
4 месяца назад

Improper neutralization of specific syntax patterns for unauthorized expressions in Thymeleaf

EPSS

Процентиль: 52%
0.00766
Низкий

9 Critical

CVSS3

7.6 High

CVSS2