FREN Anmelden Gratis testen
Stark steigend Ohne Anmeldung
CVE-2026-40477

thymeleaf org.thymeleaf:thymeleaf-spring5

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression execution mechanisms. Although the library provides mechanisms…

CheckOps-Prioritätsindex
4,9/10 Binnen 7 Tagen patchen
Schweregrad9,1
Wahrscheinlichkeit0,1
Ausnutzung2/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 0,85 % höher als 58,2 % aller CVE
CVSS 3.1 9,1 AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:
Ausgenutzt seit 24 Tagen 10.10.2026
Behobene Pakete 0 / 0 in Open-Source-Registern

Ausnutzungswahrscheinlichkeit EPSS · FIRST

05010025.0905.1015.1024.1002.11
EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 2 / 5

  • KEV-Katalog (CISA)nein
  • In der EUVD ausgenutzt (ENISA)10.10.2026
  • Von Ransomware genutztnein
  • EPSS über 10 %0,85 %
  • Ohne Konto, über das Netzja

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression execution mechanisms. Although the library provides mechanisms to prevent expression injection, it fails to properly restrict the scope of accessible objects, allowing specific potentially sensitive objects to be reached from within a template. If an application developer passes unvalidated user input directly to the template engine, an unauthenticated remote attacker can bypass the library's protections to achieve Server-Side Template Injection (SSTI). This issue has ben fixed in version 3.1.4.RELEASE.

Text der Quelle, auf Englisch.

Betroffene Produkte

org.thymeleaf:thymeleaf-spring5org.thymeleaf:thymeleaf-spring6thymeleaf
Betroffene Versionen
  • < 3.1.4.RELEASE

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

  1. Veröffentlichung

  2. Ausnutzung gemeldet (ENISA)

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

Sind Sie betroffen?

CheckOps liest Ihre SBOMs und Scans und warnt Sie, sobald eine Ihrer Abhängigkeiten ausgenutzt wird.

Zum Start benachrichtigt werden

Quellen: CISA KEV · ENISA EUVD · FIRST EPSS · OSV. Öffentliche Daten, von CheckOps zusammengeführt und automatisch aktualisiert. Die Texte der Quellen bleiben Eigentum ihrer Autoren. Alle ausgenutzten Schwachstellen