CVE-2026-55471

Nome do Software Vulnerável e Versões Afetadas org.hl7.fhir.utilities versões 6.9.8 e anteriores

Descrição A biblioteca org.hl7.fhir.utilities contém uma falha de injeção de Entidade Externa XML (XXE). As sobrecargas da função saxonTransform() instanciam um net.sf.saxon.TransformerFactoryImpl simples sem restringir o acesso externo. Isso permite que um invasor que controle o XML transformado, seu DTD incorporado ou a folha de estilo referenciada acione a resolução de entidades gerais externas e entidades externas de DTD/parâmetros. Isso pode levar à divulgação de arquivos locais, onde arquivos legíveis pelo processo JVM são exfiltrados, e XXE cego ou Server-Side Request Forgery (SSRF), permitindo a sondagem de redes internas e o acesso a metadados de nuvem a partir da posição de rede do host.

Recomendações Atualize o org.hl7.fhir.utilities para uma versão posterior à 6.9.8. Como solução temporária, evite usar as sobrecargas da função saxonTransform() ao processar XML de fontes não confiáveis ou influenciadas por invasores.