thymeleaf | CN-SEC 中文网

安全文章

服务器端模版注入SSTI分析与归纳

0x00 背景本文针对基于java的三种常见的模版引擎(FreeMarker、Velocity、Thymeleaf)所引起的服务端模版注入漏洞SSTI进行分析、整理和总结。所谓模版引擎，简单来讲就是...

02月25日15 views评论

阅读全文

安全新闻

网安原创文章推荐【2024/12/29】

2024-12-29 微信公众号精选安全技术文章总览洞见网安 2024-12-290x1 Parallels Desktop虚拟机（PD虚拟机）迁移到VMware Workstation卡卡罗特取西经...

12月30日15 views评论

阅读全文

代码审计

Java 安全 | Thymeleaf 模板注入原理分析

Thymeleaf 模板注入原理分析前言本次记载 Thymeleaf 版本 <= 3.0.14 下的攻击手法, 当然 3.0.15 也有洞, 但利用方式变了, 故不记载.声明：文中涉及到的技术和...

12月29日19 views评论

阅读全文

代码审计

JAVA安全-模板注入-Thymeleaf

点击上方蓝字·关注我们免责声明由于传播、利用本公众号菜狗安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号菜狗安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵...

12月09日14 views评论

阅读全文

安全文章

Thymeleaf模板注入详细分析

Thymeleaf的SSTI介绍Thymeleaf 是一个流行的 Java Web 视图模板引擎，可以方便地将数据和 HTML 模板结合起来生成网页。但是在使用 Thymeleaf 的过程中，如果没有...

11月11日6 views评论

阅读全文

安全文章

Springboot下Thymeleaf全版本SSTI研究

原文链接：https://www.freebuf.com/vuls/413661.html最近复现ruoyi框架历史漏洞时出现了这个漏洞，自己复现源码以及漏洞的时候感觉网上的文章很多地方讲的摸棱两可，...

11月08日8 views评论

阅读全文

安全文章

九维团队-绿队（改进）| JAVA安全SSTI（模板注入）漏洞

前言 SSTI（Server-Side Template Injection）漏洞，也被称为模板注入漏洞。SSTI漏洞是一种在服务器端模板引擎中注入恶意代码的攻击方式。攻击者通过注入可执行代码，可以在...

11月06日19 views评论

阅读全文

安全开发

JAVA安全之Thymeleaf模板注入检测再探

文章前言从之前的文章中我们分析后发现Thymeleaf 3.0.15版本中只要检测到"{"就会认为存在表达式内容，随后直接抛出异常停止解析来防范模板注入问题，此类场景用于我们URL PATH、Retr...

10月18日12 views评论

阅读全文

CVE-2023-38286｜Spring Boot Admin 远程代码执行漏洞

0x00 前言Thymeleaf 是一个 XML/XHTML/HTML5 模板引擎，可用于 Web 与非 Web 环境中的应用开发。它是一个开源的 Java 库，基于 Apache License 2...

10月16日安全漏洞76 views评论

阅读全文

安全文章

SpringBootAdmin-thymeleaf-SSTI 可能导致 RCE【分析】

CVE-2023-38286https://nvd.nist.gov/vuln/detail/CVE-2023-38286附加漏洞描述这里提到的沙箱绕过是指绕过Thymeleaf的某些黑名单，而不是利...

10月13日55 views评论

阅读全文

代码审计

JAVA安全之Thymeleaf模板注入防护绕过

文章前言若依CMS中使用到了Thymeleaf模板引擎且存在模板注入可控点，但是在漏洞测试过程中发现常规的通用载荷并不生效，遂对其进行调试分析，最后发现是和Thymeleaf版本有莫大的关系，其中3....

10月12日27 views评论

阅读全文

安全文章

实战 | 若依SSTI注入绕过玄某盾

由于微信公众号推送机制改变了，快来星标不再迷路，谢谢大家！前言前几天挖src，遇到4.7.1版本的若依系统https://github.com/yangzongzhuan/RuoYi-fast ，此版...

09月29日19 views评论

阅读全文