PT-2026-127734

CVE-2026-117610

Publicado

2026-10-28

Atualizado

2026-11-03

Descrição por

CVSS 4.0

8.2

Alta

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas libexpat versões anteriores a 2.9.1

Descrição Ocorre uma desreferência de ponteiro NULL na função externalEntityInitProcessor2() em lib/xmlparse.c devido ao manuseio incorreto do token XML TOK NONE ao processar entradas vazias. Um invasor que controle a fragmentação do fluxo (stream chunking) pode forçar uma primeira análise vazia e não final em um subanalisador de entidade externa, fazendo com que uma análise posterior cause a falha do aplicativo.

Recomendações Atualize o libexpat para a versão 2.9.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Minkyung Park

Sebastian Pipping

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-476: NULL Pointer Dereference