CVE-2026-48590
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie XML w bibliotece xml_builder (moduł XmlBuilder) umożliwia fałszowanie treści i wstrzykiwanie XML. Nazwy elementów, atrybutów i identyfikatory doctype są interpolowane bez walidacji, co pozwala atakującemu na wstrzyknięcie dowolnego znacznika XML. Problem dotyczy wersji od 0.0.1 przed 2.4.1.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod XML do generowanych dokumentów, co może prowadzić do fałszowania treści lub ataków na systemy przetwarzające XML.
Rekomendacja
Zaktualizuj bibliotekę xml_builder do wersji 2.4.1 lub nowszej, która zawiera poprawkę walidacji i escapowania.
Inne podatności w xml_builder
Zobacz wszystkie- CVE-2026-47080Niskie
Podatność na wstrzykiwanie XML w bibliotece xml_builder (moduł XmlBuilder) umożliwia fałszowanie treści i wstrzykiwanie XML. Funkcja escape/1 dla danych CDATA nie obsługuje sekwencji ']]>', co pozwala atakującemu na przedwczesne zamknięcie sekcji CDATA i wstrzyknięcie dowolnego XML. Problem dotyczy wersji od 0.0.7 przed 2.4.1.
- CVE-2026-47079Niskie
Podatność na nieodpowiednie kodowanie w bibliotece xml_builder (moduł XmlBuilder) umożliwia fałszowanie treści i cross-site scripting. Funkcja XmlBuilder.generate/1 nie escapuje znaków '&' w tekście i wartościach atrybutów, gdy po nich następuje token podobny do encji, co pozwala na wstrzyknięcie znaczników XML. Problem dotyczy wersji od 0.0.6 przed 2.4.1.
Oryginalny opis (angielski, źródło NVD)
XML Injection vulnerability in joshnuss xml_builder (XmlBuilder module) allows Content Spoofing, XML Injection. This vulnerability is associated with program files lib/xml_builder.ex and program routines XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.element/1, XmlBuilder.element/2, XmlBuilder.element/3. Element names, attribute names, and doctype identifiers are interpolated verbatim into the serialized XML output without validation or escaping of structural characters (<, >, ", ', &). An attacker who can influence a name argument (for example, an element name derived from a JSON object key or an HTTP form field name) can inject arbitrary XML markup including extra elements, comments, and event-handler attributes into the output document. This issue affects xml_builder: from 0.0.1 before 2.4.1.