CVE-2026-25526: HubSpot JinJava: bypass do sandbox via ForTag que permite execução arbitrária de Java
A CVE-2026-25526 é um bypass crítico do sandbox do HubSpot JinJava, um mecanismo de templates em Java, pelo componente ForTag. Segundo o registro, ela permite instanciação arbitrária de classes Java e acesso a arquivos, com pontuação 9.8 no CVSS v3.1 atribuída pelo CNA. O problema foi corrigido nas versões 2.7.6 e 2.8.3, e não há exploração confirmada nas fontes consultadas.
Visão geral
O JinJava é um mecanismo de templates em Java que usa a sintaxe de templates do Django e é adaptado para renderizar templates Jinja. A CVE-2026-25526 descreve um bypass do sandbox integrado pelo componente ForTag, que, segundo o registro, pode levar à execução arbitrária de Java. O registro da CVE está classificado como CWE-1336.
Impacto
O registro afirma que a falha permite instanciação arbitrária de classes Java e acesso a arquivos, contornando as restrições do sandbox integrado. O CNA classifica a vulnerabilidade como crítica, com pontuação base 9.8 no CVSS v3.1 e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que, lido de forma padrão, indica acesso pela rede, baixa complexidade e ausência de privilégios ou interação do usuário.
O risco prático depende de a aplicação permitir que partes não confiáveis forneçam ou influenciem o conteúdo dos templates, já que um bypass de sandbox é mais perigoso quando o atacante controla o que será renderizado.
Produtos e versões afetadas
Os dados do CNA listam o Hubspot Jinjava nas seguintes faixas:
- Versões anteriores à 2.7.6.
- Versões a partir da 2.8.0, até a 2.8.3 excluída.
Versões fora dessas faixas não aparecem como afetadas no registro.
Status de exploração
A CVE não consta no catálogo KEV da CISA, e o registro não apresenta pontuação EPSS. Não há exploração ativa confirmada nem exploração em campo nas fontes consultadas.
Correção e mitigação
O registro informa que o problema foi corrigido nas versões 2.7.6 e 2.8.3. Quem usa a linha 2.7 deve migrar para a 2.7.6 ou superior, e quem usa a linha 2.8 deve migrar para a 2.8.3 ou superior. Antes da implantação, revise o aviso do fornecedor e as notas das versões 2.7.6 e 2.8.3.
Enquanto a correção não for aplicada, limite quem pode criar ou alterar templates, evite renderizar templates de origem não confiável e execute o processo de renderização com o menor privilégio possível, para restringir o acesso a arquivos.
Orientações de detecção
- Inventarie aplicações e arquivos de build que dependem do JinJava, incluindo dependências transitivas, e registre a versão em uso.
- Identifique serviços que renderizam templates fornecidos por usuários ou armazenados externamente.
- Revise os logs da aplicação em busca de erros inesperados de renderização de templates ou acessos incomuns a arquivos pelo processo que renderiza os templates.
Limitações das informações disponíveis
O registro não traz detalhes técnicos, material de prova de conceito nem análise independente, por isso as condições exatas de exploração são desconhecidas. O nome da CWE não é informado. Também não se sabe se outras linhas ou configurações de implantação são afetadas além das faixas listadas, nem se versões anteriores foram testadas.
Perguntas frequentes
O que é a CVE-2026-25526?
É um bypass crítico do sandbox do HubSpot JinJava, um mecanismo de templates em Java, pelo componente ForTag. Segundo o registro, pode permitir instanciação arbitrária de classes Java e acesso a arquivos.
Quais versões são afetadas?
Os dados do CNA listam versões anteriores à 2.7.6 e versões a partir da 2.8.0 até a 2.8.3 excluída.
Há exploração conhecida dessa vulnerabilidade?
Ela não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.