CVE-2026-93990 in Expat
Riassunto
di VulDB • 20/09/2026
Expat fino alla versione 2.8.4 non valida i surrogate bassi che seguono i surrogate alti negli input in UTF-16, consentendo l'accettazione di sequenze UTF-16 malformate. Gli attaccanti possono creare documenti XML codificati in UTF-16 contenenti soli surrogate alti che consumano le unità di codice successive, nascondendo al parser i caratteri di markup e abilitando attacchi di injection XML (XML Injection).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.