CVE-2026-38429
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
OpenCMS w wersji 20 i wcześniejszych jest podatny na atak XML External Entity (XXE) w funkcji Admin Import DB z powodu niebezpiecznego parsowania XML dostarczonych przez użytkownika plików .zip zawierających manifest.xml.
Ocena ryzyka
Organizacja narażona jest na ujawnienie poufnych plików serwera, wykonanie żądań po stronie serwera (SSRF) lub inne ataki związane z przetwarzaniem XML, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy zaktualizować OpenCMS do wersji, która zawiera poprawkę dla tej podatności, lub zastosować odpowiednie zabezpieczenia parsowania XML.
Oryginalny opis (angielski, źródło NVD)
OpenCMS v20 and before is vulnerable to XML External Entity (XXE) in the Admin Import DB feature due to insecure XML parsing of user supplied .zip files containing a manifest.xml.