CWE-776

Urządzenia Quantum DXi6702 w wersji 2.3.0.3 są podatne na atak XML External Entity Injection (XXE) poprzez endpoint REST służący do uwierzytelniania. Podatność posiada krytyczny poziom CVSS 9.8 i umożliwia zdalne wykorzystanie bez jakiejkolwiek autoryzacji.

Biblioteka Excel-Streaming-Reader (xlsx-streamer) w wersjach przed 2.1.0 zawiera podatność XML Entity Expansion (XEE), wynikającą z niewłaściwej konfiguracji parsera XML. Może to prowadzić do ataku typu Billion Laughs, skutkującego wyczerpaniem zasobów serwera lub ujawnieniem danych.

Rozszerzenie XStream w HP Fortify SCA przed wersją 2.2 RC3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez niebezpieczną deserializację wiadomości XML. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

Wtyczka opOpenSocialPlugin zawiera wiele podatności typu XML External Entity Injection (XXE), które umożliwiają atakującemu nieautoryzowany dostęp do zasobów systemu. Ze względu na krytyczny poziom CVSS 9.8 i brak wymagań co do uwierzytelnienia, podatność stanowi poważne zagrożenie dla hostów z zainstalowaną wtyczką.

Apache XMLBeans w wersjach do 2.6.0 włącznie nie konfiguruje parserów XML w sposób chroniący przed złośliwymi danymi wejściowymi, co umożliwia ataki typu XML Entity Expansion. Podatność może prowadzić do ujawnienia danych lub niedostępności usługi (DoS) bez konieczności uwierzytelnienia.

WSO2 API Manager do wersji 3.1.0 oraz API Microgateway 2.2.0 są podatne na ataki typu XML Entity Expansion (XEE), znane również jako 'Billion Laughs'. Luka umożliwia nieuwierzytelnionemu atakującemu zdalnie wywołać wyczerpanie zasobów serwera lub uzyskać dostęp do chronionych danych.

NLTK versions before 3.10.3 use xml.etree.ElementTree to parse XML in multiple modules, which honors entity declarations in document DTDs. Attackers can craft XML payloads with nested entity declarations that expand from hundreds of bytes to megabytes in memory, causing denial of service.

fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks. From 5.9.3 until 5.10.1, src/xmlparser/OrderedObjParser.js processes multiple DOCTYPE declarations within a single XML document and passes each declaration's entities through addInputEntities(). addInputEntities() resets maxTotalExpansions and maxExpandedLength every time it is called, allowing additional DOCTYPE declarations to repeatedly reset the configured entity-expansion limits during one parse operation. A crafted XML document can then cause excessive CPU use, event-loop blocking, memory exhaustion, and process termination. This issue is fixed in version 5.10.1.

Podatność typu XML External Entity (XXE) w komponencie SchemaValidator Mediator produktów WSO2 umożliwia wysoko uprzywilejowanemu atakującemu odczyt plików z serwera oraz wywołanie nadmiernego zużycia zasobów. Mimo wymogu wysokich uprawnień, zakres oddziaływania jest ponadkontekstowy (Scope: Changed), co podnosi ocenę CVSS do poziomu HIGH.

Komponent Symfony\Component\Yaml\Parser rozwiązywał aliasy kolekcji YAML rekurencyjnie, co umożliwiało przekształcenie niewielkiego, niezaufanego wejścia YAML w strukturę o rozmiarze wielu gigabajtów. Skutkuje to wyczerpaniem pamięci serwera i odmową usługi (DoS).

xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) `DOMParser` and `XMLSerializer` module. In @xmldom/xmldom prior to versions 0.9.10 and 0.8.13 and xmldom version 0.6.0 and prior, seven recursive traversals in lib/dom.js operate without a depth limit. A sufficiently deeply nested DOM tree causes a RangeError: Maximum call stack size exceeded, crashing the application. This issue has been patched in versions @xmldom/xmldom versions 0.9.10 and 0.8.13.

W parserze YAML frameworka Symfony brakuje limitu głębokości rekurencji podczas przetwarzania głęboko zagnieżdżonych struktur. Atakujący może dostarczyć spreparowany dokument YAML, który wyczerpie stos PHP i spowoduje awarię procesu roboczego (DoS).

Opencast is a free and open source solution for automated video capture and distribution. Versions of Opencast prior to 9.6 are vulnerable to the billion laughs attack, which allows an attacker to easily execute a (seemingly permanent) denial of service attack, essentially taking down Opencast using a single HTTP request. To exploit this, users need to have ingest privileges, limiting the group of potential attackers The problem has been fixed in Opencast 9.6. There is no known workaround for this issue.

Docling simplifies document processing by parsing diverse formats and providing integrations with the generative AI ecosystem. From 2.13.0 until 2.74.0, the USPTO patent XML parser used the standard xml.sax.parseString() without protection against XML External Entity (XXE) attacks. An attacker could craft malicious USPTO patent XML files with external entity references that could read arbitrary files from the server filesystem, perform Server-Side Request Forgery (SSRF) attacks, or cause denial of service through entity expansion (Billion Laughs attack). The vulnerability affects three USPTO patent format parsers: ICE (v4.x), Grant v2.5, and Application v1.x. This vulnerability is fixed in 2.74.0.

FreeSWITCH is a Software Defined Telecom Stack enabling the digital transformation from proprietary telecom switches to a software implementation that runs on any commodity hardware. Prior to version 1.11.0, FreeSWITCH's bundled XML parser expands nested <!ENTITY> declarations without a depth or count bound, so a small DTD can describe a body that expands exponentially ("billion laughs"). The PIDF body of a SIP PUBLISH is fed to this parser before any digest check, letting an unauthenticated network attacker force unbounded CPU and memory consumption with a single request. This issue has been patched in version 1.11.0.

Docling's METS GBS backend is vulnerable to XML Entity Expansion (XXE) attacks thru 2.61.0. The backend extracts and validates XML files from .tar.gz archives using etree.fromstring() without disabling entity resolution. An attacker can craft a malicious XML file with nested entity definitions (XML Bomb) and package it into a .tar.gz archive. When processed by Docling, the exponential expansion of entities during XML parsing leads to excessive resource consumption, resulting in a denial of service (DoS) condition on the system running the Docling parser.

Uncontrolled resource consumption in .NET allows an unauthorized attacker to deny service over a network.

Loop with unreachable exit condition ('infinite loop') in .NET, .NET Framework, Visual Studio allows an unauthorized attacker to deny service over a network.

ImageMagick is free and open-source software used for editing and manipulating digital images. In versions below both 7.1.2-19 and 6.9.13-44, Magick frees the memory of the XML tree via the `DestroyXMLTree()` function; however, this process is executed recursively with no depth limit imposed. When Magick processes an XML file with deeply nested structures, it will exhaust the stack memory, resulting in a Denial of Service (DoS) attack. This issue has been fixed in versions 6.9.13-44 and 7.1.2-19.

fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks. Versions 4.0.0-beta.3 through 5.5.5 contain a bypass vulnerability where numeric character references (&#NNN;, &#xHH;) and standard XML entities completely evade the entity expansion limits (e.g., maxTotalExpansions, maxExpandedLength) added to fix CVE-2026-26278, enabling XML entity expansion Denial of Service. The root cause is that replaceEntitiesValue() in OrderedObjParser.js only enforces expansion counting on DOCTYPE-defined entities while the lastEntities loop handling numeric/standard entities performs no counting at all. An attacker supplying 1M numeric entity references like &#65; can force ~147MB of memory allocation and heavy CPU usage, potentially crashing the process—even when developers have configured strict limits. This issue has been fixed in version 5.5.6.