CVE-2026-42555: Valtimo: injeção de expressão SpEL nos módulos document, case e contract
Versões dos módulos document, case e contract do Valtimo avaliam expressões Spring Expression Language fornecidas pelo usuário com um contexto de avaliação irrestrito, classificadas como injeção de código CWE-94. O registro afirma que um usuário autenticado com a role ADMIN pode alcançar execução remota de código e exfiltração de credenciais, e as páginas NVD e CVE Program indicam pontuação CVSS 3.1 de 9.1. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro traz uma versão corrigida para document que conflita com a faixa afetada.
Visão geral
O Valtimo é uma plataforma open-source de automação de processos de negócio. De acordo com o aviso do GitHub referenciado no registro, os módulos document, case e contract avaliam expressões Spring Expression Language (SpEL) construídas a partir de entrada do usuário, usando um StandardEvaluationContext que concede acesso irrestrito a tipos e métodos Java. O registro classifica a fraqueza como CWE-94 (injeção de código).
Impacto
- O registro afirma que um usuário autenticado com a role ADMIN pode alcançar execução remota de código e exfiltração de credenciais.
- A pontuação CVSS 3.1 de 9.1 (crítica), fornecida pelo CNA e pelo GitHub Security Advisories, indica vetor de rede, baixa complexidade, privilégios altos exigidos, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
- Como o atacante precisa já possuir a role ADMIN, o risco prático depende de quantas contas têm esse privilégio e de quão bem elas são protegidas.
Produtos e versões afetadas
- com.ritense.valtimo:document de 12.0.0 até antes de 12.32.0.
- com.ritense.valtimo:case de 13.0.0 até antes de 13.23.0.
- com.ritense.valtimo:contract de 13.4.0 até antes de 13.23.0.
- A lista estruturada de afetados no registro está vazia, então essas faixas vêm apenas do texto da descrição.
- Versões corrigidas citadas na descrição: com.ritense.valtimo:case 13.23.0 e com.ritense.valtimo:contract 13.23.0. A descrição também cita com.ritense.valtimo:document 2.32.0, que não se encaixa na faixa 12.x afetada; a versão corrigida correta para document deve ser verificada no aviso.
Status de exploração
- A entrada do catálogo CISA KEV no registro não está listada.
- Nenhuma exploração ativa confirmada ou explorada na natureza aparece nas fontes consultadas.
- A probabilidade EPSS é 0,00822, com percentil de 0,56198, conforme registrado para a data 2026-10-13. O EPSS estima a probabilidade de exploração e não é evidência de exploração.
Correção e mitigação
- Atualize os módulos Valtimo afetados para uma versão corrigida listada no aviso do GitHub e confirme ali a versão exata corrigida do módulo document.
- Até a aplicação do patch, revise quais contas possuem a role ADMIN e remova atribuições desnecessárias, já que o registro exige esse privilégio.
- Reforce a autenticação e monitore contas administrativas, e considere rotacionar credenciais armazenadas ou acessíveis pela plataforma caso haja suspeita de comprometimento.
- Revise qualquer tratamento customizado de expressões na plataforma e limite as fontes de dados que alimentam a avaliação de expressões.
Orientação para detecção
- Revise logs de aplicação e de auditoria em busca de ações administrativas sobre definições de processos, casos e contratos que sejam inesperadas ou que venham de contas desconhecidas.
- Monitore conexões de saída ou atividade de processos incomuns originadas do servidor da aplicação Valtimo.
- Acompanhe alterações em dados de configuração e definição que contenham conteúdo semelhante a expressões e correlacione-as com sessões administrativas.
Limitações das informações disponíveis
- O status da fonte no registro é Deferred, e as listas de afetados e de correções estão vazias.
- O registro apresenta uma inconsistência entre a versão corrigida do document (2.32.0) e a faixa afetada do document (12.x).
- Não havia notas de patch do fornecedor, detalhes de prova de conceito nem telemetria de exploração além do aviso e das páginas CVE referenciadas.
- Se implantações usam o caminho de expressão vulnerável depende de configurações que o registro não descreve.
Perguntas frequentes
O que é o CVE-2026-42555?
É uma fraqueza de injeção de código (CWE-94) nos módulos document, case e contract do Valtimo, nos quais expressões Spring Expression Language fornecidas pelo usuário são avaliadas com acesso irrestrito a tipos e métodos Java.
Quem pode explorar essa vulnerabilidade segundo o registro?
O registro afirma que um usuário autenticado com a role ADMIN pode alcançar execução remota de código e exfiltração de credenciais.
Há exploração conhecida dessa vulnerabilidade?
A entrada no catálogo CISA KEV do registro não está listada, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer agora?
Atualizar os módulos Valtimo afetados para a versão corrigida indicada no aviso do GitHub e reduzir e monitorar o número de contas com a role ADMIN até a aplicação do patch.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.