PT-2026-79348
CVE-2026-48590
·
Publicado
2026-08-21
·
Atualizado
2026-10-16
Descrição por
CVSS 4.0
2.1
BaixaMétricasAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Nome do Software Vulnerável e Versões Afetadas
xml builder versões 0.0.1 até 2.4.0
Description
Uma falha de Injeção de XML no módulo XmlBuilder permite a falsificação de conteúdo (Content Spoofing) e Injeção de XML. O problema ocorre porque nomes de elementos, nomes de atributos e identificadores de doctype são interpolados diretamente na saída XML serializada sem validação ou escape de caracteres estruturais como <, >, ", ', e &. Um invasor capaz de influenciar um argumento de nome — como um nome de elemento derivado de um campo de formulário HTTP ou de uma chave de objeto JSON — pode injetar marcações XML arbitrárias, incluindo comentários, elementos extras e atributos de manipuladores de eventos. Este problema está associado ao arquivo lib/xml builder.ex e às funções
XmlBuilder.generate/1(), XmlBuilder.generate/2(), XmlBuilder.element/1(), XmlBuilder.element/2() e XmlBuilder.element/3().Recommendations
Atualize o xml builder para a versão 2.4.1 ou posterior.
Explorabilidade
Exploit
Correção
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾