CVE-2026-66293 in Saxy
Résumé
par VulDB • 06/11/2026
Injection XML dans l'encodeur de Saxy. L'encodage `Saxy.Encoder` ne neutralise pas la séquence `--` au sein du contenu des commentaires XML : la fonction `escape_comment/2` renvoie le binaire du commentaire inchangé pour chaque clause et n'ajoute un espace que lorsque le commentaire se termine par un simple `-`, de sorte ni une double tiret interne (`--`) ni une fermeture complète (`-->`) ne sont échappées ou rejetées avant que l'encodeur n'enveloppe le contenu dans les délimiteurs.
Lorsqu'une application sérialise du texte contrôlé par un attaquant en tant que commentaire, via `Saxy.XML.comment/1` ou sous la forme simple brute `{:comment, text}`, l'attaquant peut fermer prématurément le commentaire avec `-->` et injecter des balises arbitraires dans le document sérialisé. Un analyseur (parser) aval y verra alors des éléments, attributs et textes que l'application n'a jamais construits. Lorsque le document est rendu en HTML ou SVG, les balises injectées s'exécutent sous forme de script intersite stocké (stored XSS) ; lorsqu'il est consommé par un autre processeur XML, l'attaquant peut falsifier des données que l'application productrice n'a jamais émises. Les documents que Saxy se contente d'analyser ne constituent pas une vecteur d'attaque.
Cette vulnérabilité affecte le paquet `saxy` : de la version 0.7.0 jusqu'à (mais sans inclure) la version 1.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.