CVE-2026-61570
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
MPXJ to biblioteka open source do odczytu i zapisu planów projektów z różnych formatów plików i baz danych. Od wersji 5.5.5 do 16.4.1 MerlinReader tworzy DocumentBuilder z domyślnymi ustawieniami podczas parsowania XML z kolumny ZTIMEINTERVALS bazy danych SQLite projektu Merlin, pozostawiając włączone deklaracje doctype i encje zewnętrzne. Spreparowana baza danych może spowodować odczyt dowolnego lokalnego pliku przez parser, choć późniejsze przetwarzanie sparsowanego XML przez MPXJ sprawia, że ujawnienie zawartości pliku jest mało prawdopodobne. Problem naprawiono w wersji 16.4.1.
Ocena ryzyka
Atakujący może potencjalnie odczytać lokalne pliki, choć ryzyko ujawnienia zawartości jest ograniczone przez dalsze przetwarzanie.
Rekomendacja
Należy zaktualizować bibliotekę MPXJ do wersji 16.4.1 lub nowszej.
Inne podatności w MPXJ
Oryginalny opis (angielski, źródło NVD)
MPXJ is an open source library to read and write project plans from a variety of file formats and databases. From 5.5.5 until 16.4.1, MerlinReader creates a DocumentBuilder with default settings while parsing XML from the ZTIMEINTERVALS column of a Merlin project SQLite database, leaving doctype declarations and external entities enabled. A crafted database can cause the parser to read an arbitrary local file, although MPXJ's subsequent handling of the parsed XML makes disclosure of the file contents unlikely. This issue is fixed in version 16.4.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS