PT-2026-105986
CVE-2026-61586
·
تاريخ النشر
2026-10-02
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Copernik XML Factory الإصدارات السابقة لـ 0.1.2
الوصف
عند استخدام مزود JDK الافتراضي (في حال غياب Apache Xerces من مسار الفئات classpath)، يفشل البرنامج في حظر تحليل موارد XInclude إذا قامت التطبيقات بتفعيل XInclude. يحدث هذا عند استخدام المصانع من
XmlFactories.newDocumentBuilderFactory() أو XmlFactories.newSAXParserFactory()، أو عند معالجة XMLReader عبر XmlFactories.harden(). يمكن للمهاجم الذي يقدم ملف XML غير موثوق استخدام مراجع xi:include للكشف عن ملفات محلية أو تنفيذ طلبات مزورة من جانب الخادم (SSRF) للوصول إلى نقاط نهاية الشبكة الداخلية عبر مراجع http. الـ SSRF هي تقنية يقوم من خلالها المهاجم بتحفيز تطبيق الخادم على إرسال طلبات إلى موقع غير مقصود.التوصيات
التحديث إلى الإصدار 0.1.2.
إضافة Apache Xerces (
xercesImpl) إلى مسار الفئات (classpath) لضمان اختيار مزود Xerces غير المتأثر.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾