CVE-2026-66294 in saxy
الملخص
بحسب VulDB • 06/11/2026
حقن XML في مُشفّر Saxy XML. تقوم الدالة `Saxy.Encoder.cdata/1` بتسلسل عقدة {:cdata, characters} عن طريق تغليف الأحرف المُقدَّمة بين وسوم <![CDATA[ و ]]>، ونقل الحمولة (payload) حرفاً بحرف دون أي معالجة. تفلت مسارات بيانات النص والقيم السِمية في المُشفّر أحرف XML الخاصة بالسياق (<, >, &, ", ')، لكن مسار CDATA لا يطبّق أي تعادل أو تحييد على الإطلاق. لا يوفر XML آلية لتهرب الأحرف داخل قسم CDATA، لذا فإن الطريقة الصحيحة لتمثيل سلسلة فرعية تحتوي على ]]> هي تقسيم القسم وإعادة ربطه كـ ]]]]><![CDATA[>. ولا يقوم Saxy بإجراء هذا التقسيم ولا يرفض السلسلة الفرعية المذكورة.
تُتيح التطبيقات التي تعرض نصوصاً غير موثوقة بصيغة CDATA، من خلال بناء العقدة باستخدام `Saxy.XML.cdata/1` وتسلسلها عبر `Saxy.encode!/2` أو `Saxy.encode_to_iodata!/2`، لمهاجم إنهاء القسم في موضع يختاره. كل ما يُقدَّم بعد علامة ]]> يتم إصداره خارج سياق CDATA ويتم تحليله كوسوم (markup)، مما يحول حقل نصياً يتحكم فيه المهاجم إلى هيكل مستند يتحكم فيه المهاجم: عناصر شقيقة وسمات اختيارية لم يبنيها التطبيق أبداً. يقبل المستهلكون اللاحقون للمستند المسلسل الوسوم المُحقَنة على أنها أصلية. يمكن أن تتعرض الخدمات التي تولد أغلفة SOAP، أو تغذيات RSS/Atom، أو خرائط الموقع (sitemaps)، أو SVG، أو تصديرات XML من محتوى مقدم من المستخدم إلى تزوير الحقول الموثوقة أو تجاوزها. التطبيقات التي لا تضع نصوصاً غير موثوقة في عقدة CDATA ليست متأثرة بهذه المشكلة.
تؤثر هذه الثغرة على الحزمة saxy: بدءاً من الإصدار 0.7.0 وحتى قبل الإصدار 1.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.