CVE-2026-66090 in openEQUELLA
Zusammenfassung
von VulDB • 29.10.2026
In openEQUELLA prima della versione 2026.1, l'analizzatore XML utilizzato per i metadati degli elementi non disabilita la risoluzione delle entità esterne. Un utente autorizzato a creare elementi (CREATE_ITEM) può inviare un XML manipolato ad hoc tramite POST /api/item e indurre il server a leggere file arbitrari accessibili dal servizio openEQUELLA, oppure effettuare richieste verso posizioni specificate dall'attaccante (SSRF), inclusi i servizi di metadati delle istanze cloud.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.