- Yama var
- Son 7 gün
- CWE-611
CVE-2026-54668
Kitodo.Production'da XMLUtils EAD/XML yükleme ayrıştırıcılarında XXE zafiyeti
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Kitodo.Production, toplu dijitalleştirme için bir iş akışı yönetim aracı olup Kitodo Digital Library Suite'in bir parçasıdır. 3.9.2 sürümünden önceki sürümlerde, org.kitodo.production.helper.XMLUtils sınıfı, varsayılan ve güvenli olmayan yapılandırmayla JAXP ayrıştırıcısı oluşturan birkaç XML ayrıştırma yardımcı metodu sunmaktadır. parseXMLString(String), getNumberOfEADElements(String, String) ve checkIfXmlIsWellFormed(String) metodları, newInstance aracılığıyla DocumentBuilderFactory, XMLInputFactory veya SAXParserFactory oluşturmakta ve saldırgan kontrolündeki dizeyi DOCTYPE bildirimlerini ya da harici varlık çözümlemesini devre dışı bırakmadan ayrıştırmaktadır. Bu yardımcı metodlar doğrudan EAD içe aktarma yolu üzerinde yer almaktadır; kimliği doğrulanmış bir kullanıcı "Süreç oluştur" dosya yükleme iletişim kutusu üzerinden bir EAD/XML dosyası yüklediğinde, yüklenen içerik bu metodlar tarafından ayrıştırılmaktadır. Harici varlık içeren hazırlanmış bir belge, XML harici varlık (XXE) enjeksiyonuna yol açarak yerel dosya ifşasına ve sunucudan dışa yönelik SSRF isteklerine olanak tanır. Bu sorun 3.9.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Kitodo.Production is a workflow management tool for mass digitization and is part of the Kitodo Digital Library Suite. Prior to version 3.9.2, org.kitodo.production.helper.XMLUtils exposes several XML parsing helpers that construct a JAXP parser with the default, non-secure configuration. The methods parseXMLString(String), getNumberOfEADElements(String, String) and checkIfXmlIsWellFormed(String) build a DocumentBuilderFactory / XMLInputFactory / SAXParserFactory via newInstance() and parse the attacker-supplied string without disabling DOCTYPE declarations or external entity resolution. These helpers sit directly on the EAD-import path: an authenticated user who uploads an EAD/XML file through the "Create process" file-upload dialog has the uploaded bytes parsed by these methods. A crafted document with an external entity therefore yields XML External Entity (XXE) injection: local file disclosure and outbound SSRF requests from the server. This issue has been patched in version 3.9.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| kitodo-production | < 3.9.2 | 3.9.2 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.