Vulnerabilidad en Hibernate Validator (CVE-2025-35036)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
03/06/2025
Última modificación:
04/06/2025
Descripción
Hibernate Validator, en versiones anteriores a la 6.2.0 y la 7.0.0, puede, de forma predeterminada y según su uso, interpolar la información proporcionada por el usuario en un mensaje de violación de restricciones con Expression Language. Esto podría permitir a un atacante acceder a información confidencial o ejecutar código Java arbitrario. Hibernate Validator, a partir de la 6.2.0 y la 7.0.0, ya no interpola mensajes personalizados de violación de restricciones con Expression Language y recomienda encarecidamente no permitir la información proporcionada por el usuario en dichos mensajes. CVE-2020-5245 y CVE-2025-4428 son ejemplos de vulnerabilidades relacionadas con la interpolación de datos proporcionados por el usuario en Expression Language.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA
Puntuación base 3.x
7.30
Gravedad 3.x
ALTA
Referencias a soluciones, herramientas e información
- https://docs.jboss.org/hibernate/stable/validator/reference/en-US/html_single/#section-hibernateconstraintvalidatorcontext
- https://github.com/hibernate/hibernate-validator/commit/05f795bb7cf18856004f40e5042709e550ed0d6e
- https://github.com/hibernate/hibernate-validator/commit/254858d9dcc4e7cd775d1b0f47f482218077c5e1
- https://github.com/hibernate/hibernate-validator/commit/d2db40b9e7d22c7a0b44d7665242dfc7b4d14d78
- https://github.com/hibernate/hibernate-validator/commit/e076293b0ee1bfa97b6e67d05ad9eee1ad77e893
- https://github.com/hibernate/hibernate-validator/compare/6.1.7.Final...6.2.0.Final
- https://github.com/hibernate/hibernate-validator/pull/1138
- https://hibernate.atlassian.net/browse/HV-1816
- https://hibernate.org/validator/documentation/migration-guide/#6-2-0-cr1
- https://in.relation.to/2021/01/06/hibernate-validator-700-62-final-released/#expression-language
- https://labs.watchtowr.com/expression-payloads-meet-mayhem-cve-2025-4427-and-cve-2025-4428/
- https://www.cve.org/CVERecord?id=CVE-2020-5245
- https://www.cve.org/CVERecord?id=CVE-2025-4428