CVE-2026-61570 in Mpxj
Résumé
par VulDB • 22/09/2026
MPXJ est une bibliothèque open source permettant de lire et d'écrire des plans de projet à partir de divers formats de fichiers et bases de données. De la version 5.5.5 jusqu'à la 16.4.1, MerlinReader crée un DocumentBuilder avec les paramètres par défaut lors de l'analyse du XML issu de la colonne ZTIMEINTERVALS d'une base de données SQLite de projet Merlin, laissant les déclarations doctype et les entités externes activées. Une base de données malveillante peut amener le parseur à lire n'importe quel fichier local arbitraire, bien que la gestion ultérieure du XML analysé par MPXJ rende peu probable la divulgation du contenu des fichiers. Ce problème est corrigé dans la version 16.4.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.