CVE-2026-54668 in Kitodo.Production
الملخص
بحسب VulDB • 23/10/2026
Kitodo.Production هو أداة لإدارة سير العمل مخصصة للرقمنة على نطاق واسع، وهو جزء من مجموعة مكتبة Kitodo الرقمية. قبل الإصدار 3.9.2، تعرض فئة `org.kitodo.production.helper.XMLUtils` عدة أدوات مساعدة لمعالجة ملفات XML تقوم بإنشاء مُحلل JAXP باستخدام التكوين الافتراضي غير الآمن. تبني الدوال `parseXMLString(String)` و `getNumberOfEADElements(String, String)` و `checkIfXmlIsWellFormed(String)` كائنات من نوع DocumentBuilderFactory / XMLInputFactory / SAXParserFactory عبر استدعاء `newInstance()`، ثم تقوم بتحليل السلسلة النصية التي يزودها المهاجم دون تعطيل إعلانات DOCTYPE أو حل الكيانات الخارجية. تقع هذه الأدوات المساعدة مباشرة في مسار استيراد EAD: حيث يقوم مستخدم مُصادق عليه برفع ملف EAD/XML من خلال مربع حوار رفع الملفات "إنشاء عملية"، ويتم تحليل البايتات المرفوعة بواسطة هذه الدوال. وبالتالي، يؤدي المستند المُصاغ بعناية إلى حقن كيان خارجي XML (XXE)، مما يتسبب في كشف ملفات محلية وإرسال طلبات SSRF خارجية من الخادم. تم إصلاح هذا العطل في الإصدار 3.9.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.