CVE-2026-12993
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W Apicurio Registry wykryto podatność polegającą na braku wyłączenia deklaracji DOCTYPE oraz nie włączeniu FEATURE_SECURE_PROCESSING w DocumentBuilderAccessor. Atakujący z uprawnieniami do zapisu artefaktów może przesłać dokument XML z wewnętrzną ekspansją encji (wariant billion-laughs), co prowadzi do wyczerpania zasobów CPU i pamięci, częściowo ograniczone przez domyślny limit 64 000 ekspansji encji w JAXP.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu XML Entity Expansion (billion-laughs), który może spowodować niedostępność usługi (DoS) poprzez wyczerpanie zasobów procesora i pamięci. Atak wymaga uprawnień do zapisu artefaktów, co ogranicza jego zasięg, ale w przypadku skompromitowanego konta może prowadzić do poważnych zakłóceń.
Rekomendacja
Należy zaktualizować Apicurio Registry do wersji, w której wyłączono deklaracje DOCTYPE i włączono FEATURE_SECURE_PROCESSING w DocumentBuilderAccessor. Do czasu aktualizacji zaleca się ograniczenie uprawnień do zapisu artefaktów oraz monitorowanie użycia CPU i pamięci pod kątem anomalii.
Inne podatności w Apicurio Registry
Zobacz wszystkie- CVE-2026-12992Wysokie
W Apicurio Registry wykryto podatność SSRF. Klasa WSDLReaderAccessor tworzy czytnik WSDL bez wyłączenia funkcji javax.wsdl.importDocuments. Gdy reguła VALIDITY jest ustawiona na FULL, atakujący z rolą Developer może przesłać dokument WSDL z kontrolowanymi lokalizacjami importu, co powoduje wysyłanie żądań HTTP do dowolnych wewnętrznych adresów URL.
- CVE-2026-12975Wysokie
W Apicurio Registry wykryto podatność w metodzie ContentTypeUtil.isParsableXml(), która tworzy SAXParserFactory bez włączonych funkcji bezpiecznego przetwarzania ani wyłączenia rozwiązywania zewnętrznych encji. Osoba atakująca z uprawnieniami do zapisu artefaktów (lub nieuwierzytelniona przy domyślnej konfiguracji) może przesłać spreparowany dokument XML, aby wywołać ślepe SSRF przez zewnętrzne DTD/encje lub spowodować odmowę usługi przez rozwijanie encji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Apicurio Registry. The DocumentBuilderAccessor correctly blocks external DTD and schema access but does not disable DOCTYPE declarations or enable FEATURE_SECURE_PROCESSING. An attacker with artifact-write permission can upload XML documents with internal entity-expansion payloads (billion-laughs variant) that cause CPU and heap exhaustion, partially mitigated by the JAXP default 64,000 entity-expansion limit.