Hibernate Validator puede interpolar entradas proporcionadas por el usuario en un mensaje de violación de restricción con Expression Language

Esta vulnerabilidad permite a un atacante inyectar código malicioso en los mensajes de violación de restricciones de Hibernate Validator. Si la aplicación utiliza estos mensajes para mostrar información al usuario o para realizar acciones basadas en ellos, el atacante podría manipular el comportamiento de la aplicación. En el peor de los casos, esto podría llevar a la ejecución de código arbitrario en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad de los datos. La vulnerabilidad se basa en la capacidad de Hibernate Validator para interpretar expresiones de lenguaje (Expression Language) dentro de los mensajes de error, permitiendo la inyección de código que se ejecuta durante la validación. Es similar a otras vulnerabilidades de interpolación de lenguaje de expresión, como CVE-2020-5245, que afectaron a otros componentes.

Applications utilizing Hibernate Validator for data validation, particularly those that allow user-supplied input to be incorporated into constraint violation messages, are at risk. This includes web applications, REST APIs, and any Java-based system relying on Hibernate Validator for input sanitization. Legacy applications using older versions of Hibernate Validator are particularly vulnerable.

• java / server:

# Check for vulnerable versions of Hibernate Validator in dependencies
find . -name pom.xml -o -name build.gradle | xargs grep 'org.hibernate.validator:hibernate-validator:"[<=6.1.7.Final]"'

• java / application:

// Inspect the Hibernate Validator version at runtime
String validatorVersion = ValidatorFactory.class.getPackage().getImplementationVersion();
System.out.println("Hibernate Validator Version: " + validatorVersion);

1. 2025-06-03Disclosure

   disclosure

1. Reservado2025-04-15
2. Publicada2025-06-03
3. Modificada2025-09-12
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-35036 es actualizar Hibernate Validator a la versión 6.2.0.CR1 o posterior, donde se corrigió la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda evitar el uso de entrada de usuario en los mensajes de violación de restricciones. Esto puede lograrse utilizando mensajes estáticos o sanitizando cuidadosamente la entrada del usuario antes de incluirla en el mensaje. Como medida adicional, se puede configurar el servidor de aplicaciones para restringir el acceso a las funciones de Expression Language. Después de la actualización, confirme que la interpolación de Expression Language está deshabilitada revisando la configuración de Hibernate Validator y realizando pruebas de validación con entradas maliciosas.