CVE-2026-69101

Nome do Software Vulnerável e Versões Afetadas Datavane TIS versão 5.0.0

Descrição Uma injeção de entidade externa XML (XXE) ocorre quando o software processa XML por meio de um DocumentBuilderFactory não endurecido, com entidades externas e carregamento de DTD habilitados. Atacantes autenticados podem explorar isso fornecendo um payload taskScript manipulado para o endpoint 'doEditWorkflow'. Isso permite a falsificação de solicitação do lado do servidor (SSRF), onde o servidor é forçado a fazer solicitações HTTP externas para a infraestrutura controlada pelo atacante, e a exfiltração de arquivos locais fora de banda que sejam legíveis pelo usuário do processo TIS, como arquivos de configuração e credenciais do banco de dados Derby.

Recomendações Atualizar o Datavane TIS versão 5.0.0 para uma versão onde o DocumentBuilderFactory seja endurecido para desabilitar entidades externas e o carregamento de DTD.