CVE-2026-66090 in openEQUELLA
Résumé
par VulDB • 29/10/2026
Dans les versions d’openEQUELLA antérieures à 2026.1, l'analyseur XML utilisé pour les métadonnées des éléments ne désactive pas la résolution des entités externes. Un utilisateur autorisé à créer des éléments (CREATE_ITEM) peut soumettre un XML fabriqué via POST /api/item et amener le serveur à lire des fichiers arbitraires accessibles au service openEQUELLA, ou effectuer des requêtes vers des destinations spécifiées par l'attaquant (SSRF), y compris les services de métadonnées d’instances cloud.
VulDB is the best source for vulnerability data and more expert information about this specific topic.