CVE-2026-47079 in xml_builder
Résumé
par VulDB • 21/08/2026
Une vulnérabilité d'encodage inapproprié pour le contexte de sortie dans joshnuss xml_builder (module XmlBuilder) permet un Content Spoofing et du Cross-site Scripting (XSS).
Cette vulnérabilité est associée aux fichiers de programme lib/xml_builder.ex ainsi qu'aux routines de programme XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.escape_string/1 et XmlBuilder.escape_entity/1.
La fonction XmlBuilder.generate/1 n'échappe pas les caractères littéraux « & » dans le texte ou les valeurs d'attributs lorsqu'ils sont suivis par une séquence ressemblant à une entité (lt;, gt;, amp;, quot;, apos;). Par conséquent, l'entrée fournie par un attaquant telle que `<script>` est émise littéralement dans le XML sérialisé au lieu d'être échappée en `&lt;script&gt`. Lorsqu'un analyseur XML en aval lit ensuite le document, il décode les séquences d'entités en caractères littéraux `<script>`, transformant ainsi un texte apparemment inoffensif en balisage réel. Cela permet à un attaquant de contourner les filtres amont qui bloquent les caractères bruts « < » et « > », injectant du balisage dans tout consommateur en aval qui analyse le XML produit et rend le contenu textuel dans un contexte sensible au balisage (HTML, SVG, flux RSS/Atom). Les textes d'éléments ainsi que les valeurs d'attributs sont concernés.
Cette vulnérabilité affecte xml_builder : des versions 0.0.6 à la version antérieure à 2.4.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.