Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-611

CVE-2026-61586

Copernik XML Factory: XInclude kaynak çözümlemesinin kısıtlanmaması (stock JDK sağlayıcısı)

copernik-eu copernik-xml-factory

Yüksek 8,2 CVSS 4.0
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
4 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açıklık, dış kaynaklardan gelen XML verilerini işleyen uygulamalarda sunucu dosyalarının ve iç ağ servislerinin ifşa olmasına yol açabilir. Etkilenen yazılımın güncellenmesi, bu tür veri sızıntısı riskini kapatmak için acil olarak önerilir.

ÖzetTürkçe

Copernik XML Factory, Java için JAXP fabrikalarını varsayılan olarak güvenli biçimde oluşturur. 0.1.2 sürümünden önceki sürümlerde, Xerces kütüphanesi sınıf yolunda yokken stock JDK sağlayıcısı kullanıldığında, uygulama XInclude özelliğini açtıktan sonra XInclude kaynak çözümlemesi engellenmemektedir. Güvenilmeyen XML verisini işleyen uygulamalar bu sorundan etkilenir.

Saldırgan ne yapabilir?

Saldırgan, kötü amaçlı xi:include başvurularıyla sunucudaki yerel dosyaları okuyabilir veya http başvurularıyla sunucu tarafı istek sahteciliği (SSRF) yoluyla iç ağdaki servislere erişebilir.

Kaynaktaki açıklama (İngilizce)

Copernik XML Factory provides secure-by-default JAXP factory creation for Java. Prior to 0.1.2, Copernik XML Factory does not block XInclude resource resolution on the stock JDK provider after an application enables XInclude on a factory returned by XmlFactories.newDocumentBuilderFactory() or XmlFactories.newSAXParserFactory(), or on an XMLReader passed through XmlFactories.harden(). An application parsing untrusted XML can resolve attacker-controlled xi:include references to disclose local files or, through http references, reach internal network endpoints by server-side request forgery. Exploitation requires use of one of those factory/hardening APIs, the stock JDK provider with Apache Xerces absent from the classpath, explicit setXIncludeAware(true) or the equivalent reader feature, and XML from an untrusted source. The Xerces provider selected when Xerces is present and the Android provider are unaffected. This issue is fixed in version 0.1.2.

Ne yapmalı?

  1. Copernik XML Factory kütüphanesini 0.1.2 veya üzeri bir sürüme yükseltin. Üretici
  2. Güncellemeden önce, uygulamanızda XInclude özelliğini açan ayarları gözden geçirin ve gerekli değilse kapatın. Genel öneri
  3. Güvenilmeyen kaynaklardan gelen XML verilerinin işlenip işlenmediğini belirleyin ve bu verilerin işlenmesini geçici olarak durdurmayı değerlendirin. Genel öneri

Ek önlemler

  • Uygulama sınıf yolunda Apache Xerces kütüphanesinin bulunup bulunmadığını kontrol edin; bu kütüphane varken seçilen sağlayıcı etkilenmemektedir. Genel öneri
  • Sunucudan dışarıya veya iç ağa beklenmeyen HTTP istekleri gittiğini izleyin ve kayıtları düzenli inceleyin. Genel öneri
  • XML ayrıştırıcılarında dış varlık ve XInclude özelliklerini yalnızca gerektiği durumda açın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
copernik-eu copernik-xml-factory < 0.1.2 0.1.2

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.