Vulnerabilidades do Thymeleaf Thymeleaf

O Thymeleaf é um motor de templates Java do lado do servidor para ambientes web e standalone. Antes da versão 3.1.5.RELEASE, existe uma vulnerabilidade de bypass de segurança nos mecanismos de execução de expressões do Thymeleaf. Embora a biblioteca forneça mecanismos para evitar a execução de expressões potencialmente perigosas em alguns contextos específicos com sandbox (restritos), ela não neutraliza adequadamente determinadas construções que permitem que esse tipo de expressão seja executado. Se um desenvolvedor de aplicação passar ao motor de templates variáveis não sanitizadas que contenham tais expressões, e esses valores forem usados em contextos com sandbox dentro dos templates, essas expressões podem ser executadas, resultando em Server-Side Template Injection (SSTI). Esta vulnerabilidade está corrigida na versão 3.1.5.RELEASE.

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly neutralize specific syntax patterns that allow for the execution of unauthorized expressions. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly restrict the scope of accessible objects, allowing specific potentially sensitive objects to be reached from within a template. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.