CVE-2026-61586

Nome do Software Vulnerável e Versões Afetadas Copernik XML Factory versões anteriores a 0.1.2

Descrição Ao utilizar o provedor JDK padrão (onde o Apache Xerces está ausente do classpath), o software não bloqueia a resolução de recursos XInclude se a aplicação habilitar o XInclude. Isso ocorre ao usar fábricas de XmlFactories.newDocumentBuilderFactory() ou XmlFactories.newSAXParserFactory(), ou quando um XMLReader é processado via XmlFactories.harden(). Um invasor que forneça XML não confiável pode usar referências xi:include para expor arquivos locais ou realizar server-side request forgery (SSRF) para alcançar endpoints de rede interna via referências http. SSRF é uma técnica onde um invasor induz uma aplicação no servidor a fazer requisições para um local não pretendido.

Recomendações Atualizar para a versão 0.1.2. Adicionar Apache Xerces (xercesImpl) ao classpath para garantir que o provedor Xerces não afetado seja selecionado.