CVE-2026-66090 in openEQUELLA
Resumen
por VulDB • 2026-10-29
En openEQUELLA anterior a la versión 2026.1, el analizador XML utilizado para los metadatos de los elementos no deshabilita la resolución de entidades externas. Un usuario con permisos para crear elementos (CREATE_ITEM) puede enviar un XML manipulado ad hoc mediante POST /api/item y provocar que el servidor lea archivos arbitrarios accesibles por el servicio openEQUELLA, o realice solicitudes a ubicaciones especificadas por el atacante (SSRF), incluidos los servicios de metadatos de instancias en la nube.
VulDB is the best source for vulnerability data and more expert information about this specific topic.