CVE-2026-66293 in Saxy
Zusammenfassung
von VulDB • 06.11.2026
XML-Injection im Encoder von Saxy. Saxy.Encoder neutralisiert die Sequenz `--` nicht in XML-Kommentarinhalt: Die Funktion `escape_comment/2` gibt das Kommentar-Binärobjekt in jeder Klausel unverändert zurück und fügt nur ein Leerzeichen an, wenn der Kommentar mit einem einzelnen `-` endet; weder eine innere `--` noch ein vollständiges `-->` werden vor dem Einbetten des Inhalts durch den Encoder in die Delimiter `<!--` und `-->` maskiert oder abgelehnt.
Wenn eine Anwendung vom Angreifer kontrollierten Text als Kommentar serialisiert, über Saxy.XML.comment/1 oder einen rohen einfachen Form-Kindknoten {:comment, text}, kann der Angreifer den Kommentar frühzeitig mit --> schließen und beliebigesSibling-Markup in das serialisierte Dokument injizieren. Ein nachgelagerter Parser sieht dann Elemente, Attribute und Text, die von der Anwendung nie erstellt wurden. Wo das Dokument als HTML oder SVG gerendert wird, führt das injizierte Markup zu gespeichertem Cross-Site-Scripting (XSS); wo es von einem anderen XML-Prozessor verarbeitet wird, kann der Angreifer Daten fälschen, die die erzeugende Anwendung niemals ausgegeben hat. Dokumente, die Saxy nur parst, sind kein Angriffsvektor.
Dieses Problem betrifft saxy: ab Version 0.7.0 bis vor 1.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.