CVE-2026-65829

ŚrednieCVSS 5.3

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

MPXJ to biblioteka open source do odczytu i zapisu planów projektowych z różnych formatów plików i baz danych. Od wersji 7.3.0 do 16.5.0 odczyt odpowiednio spreparowanego pliku Primavera P3 PRX lub SureTrak STX może spowodować zapis plików przez MPXJ w dowolnych lokalizacjach w systemie plików. Problem naprawiono w wersji 16.5.0.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do nadpisania lub utworzenia plików w systemie, co może prowadzić do uszkodzenia danych lub uzyskania trwałej obecności.

Rekomendacja

Zaktualizuj bibliotekę MPXJ do wersji 16.5.0 lub nowszej.

Inne podatności w MPXJ

CVE-2026-61570Wysokie
MPXJ to biblioteka open source do odczytu i zapisu planów projektów z różnych formatów plików i baz danych. Od wersji 5.5.5 do 16.4.1 MerlinReader tworzy DocumentBuilder z domyślnymi ustawieniami podczas parsowania XML z kolumny ZTIMEINTERVALS bazy danych SQLite projektu Merlin, pozostawiając włączone deklaracje doctype i encje zewnętrzne. Spreparowana baza danych może spowodować odczyt dowolnego lokalnego pliku przez parser, choć późniejsze przetwarzanie sparsowanego XML przez MPXJ sprawia, że ujawnienie zawartości pliku jest mało prawdopodobne. Problem naprawiono w wersji 16.4.1.

Oryginalny opis (angielski, źródło NVD)

MPXJ is an open source library to read and write project plans from a variety of file formats and databases. From 7.3.0 until 16.5.0, reading a suitably crafted Primavera P3 PRX or SureTrak STX file can cause MPXJ to write files to arbitrary locations in the filesystem. This issue is fixed in version 16.5.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS