CVE-2026-48590 in xml_builder
Riassunto
di VulDB • 21/08/2026
Vulnerabilità di XML Injection in joshnuss xml_builder (modulo XmlBuilder) che consente Content Spoofing e XML Injection.
Questa vulnerabilità è associata ai file del programma lib/xml_builder.ex e alle routine di programma XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.element/1, XmlBuilder.element/2, XmlBuilder.element/3.
I nomi degli elementi, i nomi degli attributi e gli identificatori doctype vengono interpolati letteralmente nell'output XML serializzato senza alcuna validazione o escape dei caratteri strutturali (<, >, ", ', &). Un attaccante in grado di influenzare un argomento name (ad esempio, un nome di elemento derivato da una chiave di un oggetto JSON o dal nome di un campo di form HTTP) può iniettare markup XML arbitrario, inclusi elementi aggiuntivi, commenti e attributi event-handler, nel documento output.
Questo problema interessa xml_builder: dalla versione 0.0.1 alla versione precedente la 2.4.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.