ENDE Connexion Essai gratuit
Montée rapide Sans authentification
CVE-2026-40477

thymeleaf org.thymeleaf:thymeleaf-spring5

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression execution mechanisms. Although the library provides mechanisms…

Indice de priorité CheckOps
4,9/10 Corriger sous 7 jours
Gravité9,1
Probabilité0,1
Exploitation2/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 0,85 % plus haute que 58,2 % des CVE
CVSS 3.1 9,1 AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:
Exploitée depuis 24 jours 10/10/2026
Paquets corrigés 0 / 0 dans les dépôts open source

Probabilité d’exploitation EPSS · FIRST

05010025/0905/1015/1024/1002/11
Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 2 / 5

  • Catalogue KEV (CISA)non
  • EUVD exploitée (ENISA)10/10/2026
  • Utilisée par des rançongicielsnon
  • EPSS au-dessus de 10 %0,85 %
  • Sans compte, par le réseauoui

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Description ENISA EUVD

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly restrict the scope of accessible objects, allowing specific potentially sensitive objects to be reached from within a template. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.

Texte de la source, en anglais.

Produits touchés

org.thymeleaf:thymeleaf-spring5org.thymeleaf:thymeleaf-spring6thymeleaf
Versions touchées
  • < 3.1.4.RELEASE

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

  1. Publication

  2. Exploitation signalée (ENISA)

Références

Autres failles exploitées du même éditeur

Êtes-vous concerné ?

CheckOps lit vos SBOM et vos scans, et vous prévient dès qu’une de vos dépendances est exploitée.

Être prévenu de l’ouverture

Sources : CISA KEV · ENISA EUVD · FIRST EPSS · OSV. Données publiques agrégées par CheckOps, mises à jour automatiquement. Les textes des sources restent la propriété de leurs auteurs. Toutes les failles exploitées