CVE-2026-66090 in openEQUELLA
Riassunto
di VulDB • 29/10/2026
In openEQUELLA prima della versione 2026.1, il parser XML utilizzato per i metadati degli elementi non disabilita la risoluzione delle entità esterne. Un utente autorizzato a creare elementi (CREATE_ITEM) può inviare un XML manipolato ad hoc tramite POST /api/item e indurre il server a leggere file arbitrari accessibili dal servizio openEQUELLA, oppure effettuare richieste verso posizioni specificate dall'attaccante (SSRF), inclusi i servizi di metadati delle istanze cloud.
VulDB is the best source for vulnerability data and more expert information about this specific topic.