PT-2026-36947 · Thymeleaf · Thymeleaf

CVE-2026-41901 · Publicado 2026-04-29 · Atualizado 2026-06-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Thymeleaf versões anteriores a 3.1.5.RELEASE

Descrição Existe uma falha de bypass de segurança nos mecanismos de execução de expressões do Thymeleaf. A biblioteca não neutraliza adequadamente construtos específicos em contextos sandboxed (restritos), permitindo a execução de expressões de template inseguras. Se um desenvolvedor de aplicação passar variáveis não sanitizadas para o mecanismo de template e esses valores forem usados em contextos sandboxed, isso pode levar a uma Injeção de Template no Lado do Servidor (SSTI), onde um invasor pode executar código arbitrário no servidor.

Recomendações Atualize para a versão 3.1.5.RELEASE. Certifique-se de que as aplicações não passem dados não validados ou não sanitizados diretamente para o mecanismo de template.

Exploit

Correção

Enumeração de Fraquezas

CWE-917

CWE-1336

Identificadores relacionados

BDU:2026-07527

CVE-2026-41901

GHSA-C9PH-GXWW-7744

Produtos afetados

Thymeleaf

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41901.json · Exploit
• 🔥 https://github.com/HORKimhab/CVE-2026-41901 · Exploit
• https://github.com/thymeleaf/thymeleaf/security/advisories/GHSA-c9ph-gxww-7744 · Nota
• https://github.com/thymeleaf/thymeleaf/releases/tag/thymeleaf-3.1.5.RELEASE · Nota
• https://github.com/thymeleaf/thymeleaf · Nota
• https://twitter.com/lyrie_ai/status/2069688565265584449 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-07527 · Nota de Segurança
• https://twitter.com/CVEnew/status/2054340916484120862 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2069688566406332841 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-c9ph-gxww-7744 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41901 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2069688564145696818 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/2052011498269253875 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2053205277147594923 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2053205276170318076 · Publicação no Twitter