CVE-2026-25526criticalCWE-1336

CVE-2026-25526: fallo crítico en HubSpot jinjava

JinJava Bypass through ForTag leads to Arbitrary Java Execution

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear jinjava+ Monitorear com.hubspot.jinjava:jinjava

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.8epss 1.0%
JinJava is a Java-based template engine based on django template syntax, adapted to render jinja templates. Prior to versions 2.7.6 and 2.8.3, JinJava is vulnerable to arbitrary Java execution via bypass through ForTag. This allows arbitrary Java class instantiation and file access bypassing built-in sandbox restrictions. This issue has been patched in versions 2.7.6 and 2.8.3.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
HubSpot · jinjava
CVEs relacionadas — HubSpot jinjava

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-59340CRITICALjinjava Sandbox Bypass via JavaType-Based DeserializationEPSS 2.2%