CVE-2026-61570

Nome do Software Vulnerável e Versões Afetadas MPXJ versões 5.5.5 até 16.4.0

Descrição Ao analisar XML da coluna ZTIMEINTERVALS de um banco de dados SQLite de projeto Merlin, o software cria um DocumentBuilder com configurações padrão que deixam as declarações de doctype e entidades externas habilitadas. Isso permite que um banco de dados manipulado faça com que o parser leia um arquivo local arbitrário, embora o processamento subsequente do XML analisado torne a divulgação do conteúdo do arquivo improvável.

Recomendações Atualize para a versão 16.4.1. Evite a leitura de arquivos de projeto Merlin. Aceite arquivos de projeto Merlin apenas de fontes confiáveis. Pré-processe bancos de dados SQLite do Merlin para remover as declarações de doctype da coluna ZTIMEINTERVALS.