CVE-2026-41901: Bypass de sandbox na execução de expressões do Thymeleaf leva a SSTI

Visão geral

A CVE-2026-41901 é um bypass de segurança nos mecanismos de execução de expressões do Thymeleaf, um motor de templates Java do lado do servidor. Segundo o registro, o Thymeleaf inclui proteções que evitam a execução de expressões potencialmente perigosas em alguns contextos com sandbox, mas certas construções não são neutralizadas corretamente. A fraqueza é classificada como CWE-917, Expression Language Injection.

Impacto

O registro descreve o possível resultado como Server-Side Template Injection (SSTI). A condição exige que a aplicação passe ao motor de templates variáveis não sanitizadas contendo tais expressões e que esses valores sejam usados em contextos com sandbox dentro dos templates. O CNA do GitHub atribuiu pontuação base CVSS 3.1 de 9.0, com vetor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H, que indica alto impacto em confidencialidade, integridade e disponibilidade conforme avaliado pelo CNA.

Produtos e versões afetadas

O registro informa que o problema existe em versões do Thymeleaf anteriores à 3.1.5.RELEASE. Os campos estruturados de afetados e correções estão vazios no registro, portanto a lista exata de intervalos de versões afetadas deve ser confirmada no aviso de segurança do GitHub.

Status de exploração

A entrada correspondente no catálogo KEV da CISA não consta como listada no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise. O registro não estabelece a explorabilidade nem a disponibilidade pública de exploits.

Correção e mitigação

Atualize o Thymeleaf para a versão 3.1.5.RELEASE ou posterior, conforme informado no registro.
Revise as aplicações que usam Thymeleaf para identificar se dados não confiáveis ou não sanitizados são fornecidos a variáveis de template usadas em contextos com sandbox.
Valide e sanitize dados originados de usuários ou sistemas externos antes que cheguem ao motor de templates.
Confirme a versão corrigida e eventuais branches com backport no aviso do GitHub e na entrada do NVD.

Orientações de detecção

Inventarie as dependências do Thymeleaf em arquivos de build e em inventários de software, incluindo dependências transitivas, e sinalize versões inferiores à 3.1.5.RELEASE.
Revise os logs da aplicação em busca de erros incomuns de renderização de templates ou avaliações inesperadas de expressões, reconhecendo que o registro não descreve indicadores específicos.
Monitore alterações nos templates e nos caminhos de código que repassam valores derivados de requisições para os modelos de template.

Limitações das informações disponíveis

O registro não lista os intervalos de versões afetadas e corrigidas de forma estruturada, não inclui dados de exploração além do EPSS e não fornece detalhes de implantação específicos de produto. O status de origem no NVD está registrado como Deferred. A probabilidade EPSS no registro é 0.00544, com percentil 0.44153. Se uma aplicação específica está exposta depende do uso de templates e do tratamento de dados, o que o registro não descreve.

Perguntas frequentes

O que é a CVE-2026-41901?

É um bypass de segurança nos mecanismos de execução de expressões do Thymeleaf, um motor de templates Java do lado do servidor, em versões anteriores à 3.1.5.RELEASE. O registro indica que pode levar a Server-Side Template Injection em condições específicas.

Qual versão corrige o problema?

O registro informa que a vulnerabilidade está corrigida na versão 3.1.5.RELEASE. O campo estruturado de correções está vazio, então confirme os detalhes no aviso do GitHub.

Esta vulnerabilidade está sendo explorada ativamente?

A entrada no catálogo KEV da CISA não consta como listada no registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.