CVE-2026-55848

Nome do Software Vulnerável e Versões Afetadas mapfish-print versões anteriores a 3.28.30 mapfish-print versões anteriores a 3.30.32 mapfish-print versões anteriores a 3.31.24 mapfish-print versões anteriores a 3.33.16 mapfish-print versões anteriores a 4.0.5

Description O MapFish Print não desabilita entidades externas e DTDs externos ao processar XML de uma URL de camada GML. Um invasor não autenticado pode fornecer uma URL maliciosa para o endpoint /api/print3/print, que é então processada pela função GmlLayer.java. Isso permite que o invasor utilize a injeção de Entidade Externa XML (XXE) para ler arquivos locais sensíveis, como dados de contas do sistema operacional, tokens de conta de serviço do Kubernetes e certificados. Além disso, ao substituir o alvo da entidade de arquivo por um endpoint HTTP interno, um invasor pode realizar a falsificação de solicitação do lado do servidor (SSRF), que é uma técnica usada para fazer com que o servidor envie solicitações para recursos internos aos quais ele tem acesso.

Recommendations Atualize para a versão 3.28.30. Atualize para a versão 3.30.32. Atualize para a versão 3.31.24. Atualize para a versão 3.33.16. Atualize para a versão 4.0.5.