PT-2026-33215
CVE-2026-40478
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Thymeleaf السابقة للإصدار 3.1.4.RELEASE
الوصف
يوجد ثغرة أمنية في آليات تنفيذ التعبيرات في Thymeleaf، وهو محرك قوالب Java يعمل من جانب الخادم. تفشل المكتبة في تحييد أنماط بناء جملة محددة بشكل صحيح، مما يسمح لمهاجم بعيد غير مصدق عليه بتجاوز إجراءات الحماية الأمنية وتنفيذ تعبيرات غير مصرح بها إذا تم تمرير مدخلات مستخدم غير مصدقة مباشرةً إلى محرك القوالب. يؤدي هذا إلى حقن القوالب من جانب الخادم (SSTI)، وهي تقنية يقوم فيها المهاجم بحقن قوالب ضارة يتم تنفيذها على الخادم، مما قد يؤدي إلى تنفيذ تعليمات برمجية تعسفية أو كشف البيانات.
التوصيات
التحديث إلى الإصدار 3.1.4.RELEASE.
التأكد من أن التطبيقات لا تمرر مدخلات المستخدم غير المصادق عليها مباشرةً إلى محرك القوالب.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾