CVE-2026-66090
Mở trang đầy đủCVSS 7.1 HIGH Lộ dữ liệu
XML External Entity (XXE) Injection in Metadata Field Allows Arbitrary File Read
Mô tả
In openEQUELLA before 2026.1, the XML parser used for item metadata does not disable external entity resolution. A user permitted to create items (CREATE_ITEM) can submit crafted XML to POST /api/item and cause the server to read arbitrary files accessible to the openEQUELLA service, or make requests to attacker-specified locations (SSRF), including cloud instance metadata services.
Điểm và phân loại
- CVSS
- 7.1 HIGH v4.0
- Nguồn điểm
- NVD
- Mức độ (theo nguồn)
- HIGH
- EPSS
- —
- CWE
- CWE-611
Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Ảnh hưởng
Sản phẩm
- Apereo Foundation openEQUELLA
Vì sao bị lọc
- CVSS 7.1 < 8.0 và không thuộc CISA KEV
Loại tác động
- Lộ dữ liệu
- CWE-611; từ khoá "xml external entity"; từ khoá "xxe"; từ khoá "arbitrary file read"; từ khoá "read arbitrary files"; từ khoá "ssrf"
Dữ liệu riêng của nguồn
- CVE.org · Đơn vị cấp mã
- MON-CSIRT
- CVE.org · SSVC
- Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: partial