Οι συντηρητές του Thymeleaf, ενός template engine για Java web applications, διόρθωσαν μια κρίσιμη ευπάθεια που επιτρέπει σε μη εξουσιοδοτημένους επιτιθέμενους να εκτελούν κακόβουλο κώδικα σε διακομιστές. Η ευπάθεια, που παρακολουθείται ως CVE-2026-40478, έχει βαθμολογηθεί με 9.1/10 στην κλίμακα σοβαρότητας CVSS και περιγράφεται ως ζήτημα Server-Side Template Injection (SSTI).
Το Thymeleaf διαθέτει προστασία τύπου sandbox, που αποτρέπει την εκτέλεση επικίνδυνων expressions από user input, αλλά αυτό το σφάλμα επιτρέπει στους επιτιθέμενους να παρακάμψουν αυτές τις προστασίες.
“Αν και η βιβλιοθήκη παρέχει μηχανισμούς για την αποφυγή expression injection, αποτυγχάνει να εξουδετερώσει σωστά συγκεκριμένα syntax patterns που επιτρέπουν την εκτέλεση μη εξουσιοδοτημένων expressions“, ανέφεραν οι προγραμματιστές στην ανακοίνωσή τους. “Αν ένας προγραμματιστής εφαρμογών περάσει μη επικυρωμένο user input απευθείας στο template engine, ένας μη εξουσιοδοτημένος απομακρυσμένος επιτιθέμενος μπορεί να παρακάμψει τις προστασίες της βιβλιοθήκης για να επιτύχει Server-Side Template Injection (SSTI)“.
Δείτε επίσης: Nginx: Κρίσιμο σφάλμα στο nginx-ui επιτρέπει πλήρη κατάληψη του διακομιστή
Το Thymeleaf είναι το de facto template engine στο οικοσύστημα Java Spring και το Spring είναι το πιο δημοφιλές framework για την ανάπτυξη εφαρμογών web σε Java. Δεδομένου ότι η Java εξακολουθεί να χρησιμοποιείται ευρέως για development σε επιχειρηματικά περιβάλλοντα, αυτή η ευπάθεια μπορεί να επηρεάσει πολυάριθμες επιχειρηματικές εφαρμογές.
Όλες οι εκδόσεις του Thymeleaf πριν από την 3.1.4.RELEASE επηρεάζονται και δεν υπάρχει εναλλακτική λύση πέρα από την εφαρμογή των ενημερώσεων.
Συνιστάται στις εταιρείες να εντοπίσουν ποιες από τις εφαρμογές τους χρησιμοποιούν το Thymeleaf και να αναβαθμίσουν στην 3.1.4.RELEASE το συντομότερο δυνατό.
Ευπάθεια Thymeleaf: Εύκολη εκμετάλλευση
Σύμφωνα με ερευνητές από την εταιρεία Endor Labs, η εκμετάλλευση είναι απλή χωρίς να απαιτούνται ειδικά προνόμια ή συνθήκες. Οι επιτιθέμενοι χρειάζονται μόνο να ελέγχουν το input που φτάνει στο expression engine του Thymeleaf.
Δείτε επίσης: Apache ActiveMQ CVE-2026-34197: Κρίσιμη ευπάθεια στο κατάλογο KEV
Η Endor Labs σημειώνει στην έκθεσή της ότι το Thymeleaf διαθέτει στρώματα άμυνας σε βάθος για να μπλοκάρει επικίνδυνα expressions, αλλά, σε αυτή την περίπτωση, δύο από αυτά απέτυχαν. Για παράδειγμα, ένα string check σάρωσε το expression text για επικίνδυνα patterns, όπως η λέξη-κλειδί new ακολουθούμενη από ένα διάστημα ASCII, T (Spring Expression Language type references) και @ (SpEL bean references σε ορισμένα code paths). Ωστόσο, ο έλεγχος έψαχνε μόνο για χαρακτήρες ASCII space 0x20. Αλλά ο parser του SpEL αποδέχεται επίσης το tab (0x09), το newline (0x0A) και άλλους χαρακτήρες ελέγχου μεταξύ του new και του class name.
Μια άλλη πολιτική μπλόκαρε classes που ξεκινούν με java.* ώστε να μην μπορούν να χρησιμοποιηθούν μέσα σε T() type references, αλλά δεν μπλόκαρε τύπους από org.springframework.*, ognl.* ή javax.*.
“Δεδομένου ότι οι τυπικές εφαρμογές Spring έχουν το spring-core στο classpath, spring-core όπως το org.springframework.core.io.FileSystemResource μπορούσα να κατασκευαστούν εύκολα, και αυτό το class μπορεί να δημιουργήσει αυθαίρετα αρχεία στο δίσκο“, ανέφεραν οι ερευνητές.
Ως εκ τούτου, η Endor Labs μπόρεσε να δημιουργήσει εύκολα ένα proof-of-concept exploit συνδυάζοντας τα δύο: χρησιμοποιώντας έναν χαρακτήρα tab μετά το new και καλώντας το class org.springframework.core.io.FileSystemResource για να δημιουργήσει ένα αρχείο στο δίσκο.
Δείτε επίσης: RedSun Zero-Day: Νέα ευπάθεια Microsoft Defender
“Με το σωστό class, ένας επιτιθέμενος μπορεί να μεταβεί από τη δημιουργία αρχείων σε πλήρη απομακρυσμένη εκτέλεση κώδικα, δημιουργώντας ένα ProcessBuilder wrapper από μια τρίτη βιβλιοθήκη ή αξιοποιώντας το GenericApplicationContext του Spring για να καταχωρήσει και να εκτελέσει αυθαίρετα beans“, εξήγησαν οι ερευνητές.
Οι ευπάθειες στο ίδιο το Java Spring Framework έχουν χρησιμοποιηθεί στο παρελθόν για παραβίαση διακομιστών web, οπότε είναι πιθανό ότι και αυτή η ευπάθεια (που είναι τόσο εύκολη στην εκμετάλλευση) θα υιοθετηθεί γρήγορα από επιτιθέμενους.
