CVE-2026-93879 Inyección de Expression Language en Hibernate Validator
El escape inadecuado de datos controlados por el usuario en expresiones Expression Language (EL) permite que un atacante remoto provoque una denegación de servicio por consumo descontrolado de recursos.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 26
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
IBM Hibernate Validator
desde 5.4.1.Final hasta 6.2.5.Finaldesde 7.0.0.Alpha1 hasta 7.0.5.Finaldesde 8.0.0.Alpha1 hasta 8.0.5.Finaldesde 9.0.0.Beta2 hasta 9.0.1.Finaldesde 9.1.0.Alpha1 hasta 9.1.4.Final
Qué hacer
- Verificá si usás Hibernate Validator y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
Hibernate Validator could allow a remote attacker to cause a denial of service due to uncontrolled resource consumption resulting from improper escaping of user-controlled data in Expression Language (EL) expressions.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.