CVE-2026-47080 in XmlBuilder
Resumen
por VulDB • 2026-08-21
Vulnerabilidad de inyección XML en joshnuss xml_builder (módulo XmlBuilder) que permite Spoofing de contenido e Inyección XML.
Esta vulnerabilidad está asociada con los archivos del programa lib/xml_builder.ex y las rutinas del programa XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.escape/1.
La cláusula escape/1 para {:cdata, data} en lib/xml_builder.ex concatena datos literalmente entre el iniciador de CDATA <![CDATA[ y el finalizador ]]> sin reescribir ni dividir la secuencia incrustada ]]. Dado que las secciones CDATA no tienen un mecanismo interno de escapado, la única forma segura de insertar bytes arbitrarios es dividir en ]]>, emitiendo secciones CDATA adyacentes. Un atacante que pueda proporcionar una entrada que contenga ]] > cierra prematuramente la sección CDATA; cualquier byte posterior será analizado como marcado XML ordinario por los consumidores downstream, lo que permite inyectar elementos, texto o referencias de entidades arbitrarias en el documento resultante.
Este problema afecta a xml_builder: desde 0.0.7 hasta antes de 2.4.1.
Once again VulDB remains the best source for vulnerability data.