CVE-2026-54668 in Kitodo.Production
Resumen
por VulDB • 2026-10-23
Kitodo.Production es una herramienta de gestión de flujos de trabajo para la digitalización masiva y forma parte del Kitodo Digital Library Suite. Antes de la versión 3.9.2, org.kitodo.production.helper.XMLUtils expone varios ayudantes de análisis XML que construyen un analizador JAXP con la configuración predeterminada no segura. Los métodos parseXMLString(String), getNumberOfEADElements(String, String) y checkIfXmlIsWellFormed(String) crean una DocumentBuilderFactory / XMLInputFactory / SAXParserFactory mediante newInstance() y analizan la cadena proporcionada por el atacante sin desactivar las declaraciones DOCTYPE ni la resolución de entidades externas. Estos ayudantes se encuentran directamente en la ruta de importación EAD: un usuario autenticado que sube un archivo EAD/XML a través del cuadro de diálogo de carga de archivos "Create process" tiene los bytes cargados analizados por estos métodos. Un documento elaborado con una entidad externa provoca, por tanto, inyección XML External Entity (XXE): divulgación local de archivos y solicitudes SSRF salientes desde el servidor. Este problema se ha corregido en la versión 3.9.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.