CVE-2026-47079 in xml_builder
要約
〜によって VulDB • 2026年08月21日
joshnussのxml_builder（XmlBuilderモジュール）における、出力コンテキストに対する不適切なエンコーディングの脆弱性により、コンテンツスプーフィングやクロスサイトスクリプティング（XSS）が許可されます。
この脆弱性は、プログラムファイル `lib/xml_builder.ex` およびプログラムルーチン `XmlBuilder.generate/1`、`XmlBuilder.generate/2`、`XmlBuilder.escape_string/1`、`XmlBuilder.escape_entity/1` に関連しています。
`XmlBuilder.generate/1` は、リテラルの `&` 文字がエンティティに似たトークン（lt;、gt;、amp;、quot;、apos;）に続く場合、テキストや属性値内のそれらをエスケープしません。その結果、攻撃者が提供した入力例である `<script>` が、`&lt;script&gt;` にエスケープされるのではなく、シリアライズされたXML内にそのまま出力されます。後続のXMLパーサーがドキュメントを読み込む際、エンティシーケンスをリテラル文字列 `<script>` としてデコードするため、無害に見えるテキストが実際のマークアップに変換されます。これにより、生来の `<` および `>` 文字をブロックする上位フィルタを回避し、生成されたXMLを解析してマークアップに敏感なコンテキスト（HTML、SVG、RSS/Atomフィードなど）でテキストコンテンツを描画する後続の消費者に対してマークアップを注入できます。要素テキストと属性値の両方が影響を受けます。
この問題は、バージョン 0.0.6 から 2.4.1 より前の xml_builder に影響します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.