CVE-2025-59340criticalCWE-1336

CVE-2025-59340: falha crítica em HubSpot jinjava

jinjava Sandbox Bypass via JavaType-Based Deserialization

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar jinjava+ Monitorar com.hubspot.jinjava:jinjava

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.8epss 2.2%
Em resumo

A engine de templates jinjava permite que atacantes contornem restrições de segurança ao forçar a criação de objetos Java arbitrários a partir de entrada do usuário, potencialmente permitindo roubo de arquivos ou execução remota de código.

Detalhe técnico

Falha de desserialização CWE-1336 em jinjava <2.8.1 permite que atacantes remotos sem autenticação invoquem ObjectMapper.constructFromCanonical() com nomes de tipos canônicos controlados, instanciando classes restritas (ex: java.net.URL) e escapando da sandbox sem invocar métodos diretos ou literais de classe. A exploração viabiliza acesso a arquivos locais (URIs file://) e possível RCE via gadget chaining.

Resumo gerado e traduzido por IA a partir da descrição oficial.
jinjava is a Java-based template engine based on django template syntax, adapted to render jinja templates. Priori to 2.8.1, by using mapper.getTypeFactory().constructFromCanonical(), it is possible to instruct the underlying ObjectMapper to deserialize attacker-controlled input into arbitrary classes. This enables the creation of semi-arbitrary class instances without directly invoking restricted methods or class literals. As a result, an attacker can escape the sandbox and instantiate classes such as java.net.URL, opening up the ability to access local files and URLs(e.g., file:///etc/passwd). With further chaining, this primitive can potentially lead to remote code execution (RCE). This vulnerability is fixed in 2.8.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
HubSpot · jinjava
CVEs relacionadas — HubSpot jinjava

No mesmo produto, das mais perigosas para as menos.

CVE-2026-25526CRITICALJinJava Bypass through ForTag leads to Arbitrary Java ExecutionEPSS 1.0%