CVE-2026-66293

Nome do Software Vulnerável e Versões Afetadas saxy versões 0.7.0 até 1.6.x

Description Um problema de injeção de XML existe no codificador do Saxy. O Saxy.Encoder não neutraliza a sequência -- no conteúdo de comentários XML porque a função escape comment/2 retorna o binário do comentário inalterado em cada cláusula e apenas adiciona um espaço quando o comentário termina em um único -. Consequentemente, nem um -- interno nem um --> completo são escapados ou rejeitados antes que o codificador envolva o conteúdo nos delimitadores.

Quando uma aplicação serializa texto controlado por um invasor como um comentário através de Saxy.XML.comment/1 ou um filho de formulário simples bruto {:comment, text}, o invasor pode fechar o comentário prematuramente com --> e injetar marcações irmãs arbitrárias no documento serializado. Isso permite a execução de cross-site scripting armazenado onde o documento é renderizado como HTML ou SVG, ou a falsificação de dados quando consumido por outro processador XML. Este problema afeta apenas aplicações que serializam texto não confiável usando Saxy.encode!/2 ou Saxy.encode to iodata!/2.

Recommendations Atualize para a versão 1.7.0 ou posterior. Rejeite ou reescreva a sequência -- em textos não confiáveis antes de passá-los para Saxy.XML.comment/1, por exemplo, substituindo -- por - -. Pare de emitir dados não confiáveis como comentários XML e mova o texto para um elemento ou uma seção CDATA.