CVE-2026-105153

Nome do Software Vulnerável e Versões Afetadas Apache Roller versões 4.0 through 6.1.6

Description A restrição inadequada de referências a Entidades Externas de XML (XXE) permite que um usuário autenticado sem permissões de weblog leia arquivos acessíveis pelo processo Roller e force o servidor a enviar requisições HTTP externas para destinos arbitrários. Isso ocorre quando uma entrada Atom manipulada é enviada para o endpoint AtomPub. O problema decorre de uma configuração de parser que permite entidades de parâmetros externos e subconjuntos DTD externos. O processo de parsing ocorre antes das verificações de autorização por weblog e antes de verificar se o recurso AtomPub está habilitado, tornando o endpoint acessível a qualquer conta autenticada em uma instalação padrão.

Recommendations Atualize o Apache Roller para a versão 6.1.7 ou posterior.