CVE-2026-66294

Nome do Software Vulnerável e Versões Afetadas saxy versões 0.7.0 até 1.6.x

Description Ocorre uma injeção de XML no codificador XML Saxy porque a função Saxy.Encoder.cdata/1 serializa nós {:cdata, characters} envolvendo caracteres entre <![CDATA[ e ]]> sem neutralizar a carga útil. Enquanto outros caminhos escapam metacaracteres XML, o caminho CDATA não trata a substring ]]>, que é a única maneira de encerrar uma seção CDATA. Um invasor pode fornecer texto não confiável contendo ]]> para encerrar a seção prematuramente, permitindo que a entrada subsequente seja analisada como marcação XML. Isso possibilita a injeção de elementos e atributos irmãos arbitrários na estrutura do documento. Este problema afeta serviços que geram envelopes SOAP, feeds RSS ou Atom, sitemaps, SVG ou exportações XML a partir de conteúdo fornecido pelo usuário. A vulnerabilidade é acionada ao usar Saxy.XML.cdata/1 em conjunto com Saxy.encode!/2 ou Saxy.encode to iodata!/2.

Recommendations Atualize o saxy para a versão 1.7.0 ou posterior. Como solução temporária, renderize textos não confiáveis como dados de caracteres comuns, passando uma string simples ou Saxy.XML.characters/1 para o construtor de elementos em vez de usar CDATA. Se o CDATA for necessário, substitua manualmente todas as ocorrências de ]]> no texto não confiável por ]]]]><![CDATA[> antes de passar o resultado para Saxy.XML.cdata/1.