CWE-91

Podatność w Mozilla Firefox, Firefox ESR i Thunderbird pozwala na ominięcie mechanizmu sandbox dla elementów iframe poprzez sprytnie skonstruowane znaczniki XSLT. Jest to podatność krytyczna (CVSS 10.0), umożliwiająca pełne naruszenie poufności, integralności i dostępności bez jakichkolwiek warunków wstępnych.

W komponencie Dmoz2CSV biblioteki OpenIMAJ v1.3.10 wykryto podatność typu XML External Entity (XXE), która pozwala atakującemu na uzyskanie dostępu do wrażliwych danych lub wykonanie dowolnego kodu. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL) i nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

Podatność typu remote code execution (RCE) w oprogramowaniu forum NodeBB umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Wysoki wynik CVSS 9.8 i brak wymogu uwierzytelnienia czynią tę lukę szczególnie niebezpieczną.

Podatność w komponencie paraparser biblioteki ReportLab przed wersją 3.5.31 umożliwia zdalne wykonanie kodu (RCE). Atakujący może dostarczyć spreparowany dokument XML zawierający element unichar z osadzonym kodem Python, który zostanie wykonany po stronie serwera.

Podatność w implementacji SAML2 w ForgeRock Access Management (AM) przed wersją 7.0.2 umożliwia atakującemu przeprowadzenie ataku XML injection. Wykorzystanie tej luki może pozwolić na sfałszowanie assertion SAML 2.0, co zagraża integralności procesu uwierzytelniania i autoryzacji.

Biblioteka petl w wersjach przed 1.68, w pewnych konfiguracjach, zezwala na rozwiązywanie encji w dokumentach XML. Podatność sklasyfikowana jako XML Injection (CWE-91) z krytycznym wynikiem CVSS 9.8, co oznacza możliwość poważnego naruszenia bezpieczeństwa bez uwierzytelnienia.

yWorks yEd Desktop w wersjach przed 3.20.1 umożliwia wykonanie dowolnego kodu poprzez mechanizm XSL Transformation przy użyciu pliku XML z niestandardowym arkuszem stylów. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika poza otwarciem spreparowanego pliku.

Podatność w ONLYOFFICE Document Server 5.5.0 umożliwia zdalne wykonanie kodu (RCE) poprzez spreparowany plik .docx zawierający złośliwy XML injection. Atakujący może nadpisać pliki binarne na serwerze i przejąć nad nim kontrolę bez jakiejkolwiek autoryzacji.

Podatność XML injection (CWE-91) w interfejsie webowym kamer IP Bosch Security Systems NBN-498 Dinion2X z oprogramowaniem H.264 Firmware 4.54.0026 umożliwia nieuwierzytelnionemu atakującemu zdalne przeprowadzenie ataku poprzez sieć. Wysokie wyniki CVSS (9.8) wskazują na poważne ryzyko naruszenia poufności, integralności i dostępności urządzenia.

Podatność umożliwia zdalne wykonanie kodu (RCE) w Microsoft .NET Framework na skutek nieprawidłowej walidacji danych wejściowych. Jest aktywnie exploitowana i stanowi krytyczne zagrożenie dla systemów z podatnymi wersjami frameworka.

W platformie Magento 2 w wersjach 2.2 przed 2.2.10 oraz 2.3 przed 2.3.3 (lub 2.3.2-p1) istnieje podatność na XPath entity injection (CWE-91). Atakujący bez żadnego uwierzytelnienia może uzyskać ograniczony dostęp do wewnętrznych danych XML aplikacji.

Router D-Link DIR-865L zawiera podatność PHP File Inclusion w pliku XML obsługiwanym przez urządzenie. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na routerze.

ReportLab w wersji do 3.5.26 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez wywołanie funkcji eval() na niezaufanych danych wejściowych. Atakujący może osadzić dowolny kod Python w spreparowanym dokumencie XML i doprowadzić do jego wykonania na serwerze.

NSA Ghidra w wersji do 9.0.4 z włączonym trybem eksperymentalnym umożliwia wykonanie dowolnego kodu poprzez wczytanie spreparowanego pliku XML za pomocą funkcji Read XML Files w module Bit Patterns Explorer. Podatność ma krytyczny poziom zagrożenia (CVSS 9.8) i nie wymaga żadnego uwierzytelnienia ani interakcji ze strony ofiary poza otwarciem pliku.

Axway SecureTransport 5.x jest podatny na nieuwierzytelnione ślepe XML injection oraz XXE (XML External Entity) w funkcji resetowania hasła dostępnej przez REST API. Podatność może prowadzić do ujawnienia plików lokalnych, ataku DoS lub SSRF z potencjalnym remote code execution.

Wtyczka Googlemaps przed wersją 3.1 dla Joomla! jest podatna na XML injection poprzez parametr url w pliku plugin_googlemap2_proxy.php. Podatność ma krytyczny poziom zagrożenia i może być wykorzystana zdalnie bez uwierzytelnienia.

W komponencie Central Licensing Server używanym w szerokiej gamie produktów ABB (m.in. ABB Ability™ System 800xA, Symphony Plus, SCADAvantage) wykryto podatność typu XML External Entity Injection (XXE). Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu odczyt dowolnych plików z serwera licencyjnego lub sieci oraz zablokowanie obsługi licencji.

IBM InfoSphere Information Server 11.7 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalna, nieuwierzytelniona osoba atakująca może wykorzystać tę lukę do ujawnienia poufnych danych lub wyczerpania zasobów pamięci serwera.

Podatność XML Injection w module Widgets Update Layout produktów Magento Commerce i Magento Open Source umożliwia atakującemu z uprawnieniami administratora wykonanie dowolnego kodu na serwerze. Pomimo wymaganych uprawnień, podatność uzyskała ocenę CRITICAL ze względu na pełny zakres skutków — kompromitację poufności, integralności i dostępności systemu.

Podatność typu XML Injection w Adobe Magento Commerce oraz Magento Open Source pozwala administratorowi na wykonanie dowolnego kodu na serwerze. Mimo wymogu uprawnień administracyjnych, krytyczny poziom zagrożenia wynika z pełnego przejęcia kontroli nad systemem.