PT-2025-23663 · Debian · Debian

CVE-2025-35036 · Publicado 2025-06-03 · Atualizado 2025-07-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Hibernate Validator versões anteriores a 6.2.0 Hibernate Validator versões anteriores a 7.0.0

Descrição Dependendo da configuração e do uso, o software pode interpolar entradas fornecidas pelo usuário em uma mensagem de violação de restrição usando Expression Language (EL), um mecanismo que permite a avaliação dinâmica de expressões dentro de uma string.

Recomendações Atualize o Hibernate Validator para a versão 6.2.0 ou posterior. Atualize o Hibernate Validator para a versão 7.0.0 ou posterior.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-35036

GHSA-7V6M-28JR-RG84

RHSA-2025:10924

RHSA-2025:10925

RHSA-2025:10926

Produtos afetados

Debian

Referências · 27

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/35xxx/CVE-2025-35036.json · Exploit
• https://github.com/hibernate/hibernate-validator/compare/6.1.7.Final...6.2.0.Final · Nota
• https://github.com/hibernate/hibernate-validator/pull/1138 · Nota
• https://github.com/hibernate/hibernate-validator/commit/d2db40b9e7d22c7a0b44d7665242dfc7b4d14d78 · Correção
• https://github.com/hibernate/hibernate-validator/commit/05f795bb7cf18856004f40e5042709e550ed0d6e · Correção
• https://github.com/hibernate/hibernate-validator/commit/e076293b0ee1bfa97b6e67d05ad9eee1ad77e893 · Correção
• https://github.com/hibernate/hibernate-validator/commit/254858d9dcc4e7cd775d1b0f47f482218077c5e1 · Correção
• https://github.com/hibernate/hibernate-validator · Nota
• https://docs.jboss.org/hibernate/stable/validator/reference/en-US/html_single/#section-hibernateconstraintvalidatorcontext · Nota
• https://labs.watchtowr.com/expression-payloads-meet-mayhem-cve-2025-4427-and-cve-2025-4428 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-35036 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2025-35036 · Aviso do Fabricante
• https://t.me/cvetracker/25319 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-35036 · Aviso do Fabricante
• https://hibernate.atlassian.net/browse/HV-1816 · Nota