CVE-2026-54668 in Kitodo.Production
要約
〜によって VulDB • 2026年10月23日
Kitodo.Productionは、大量のデジタル化のためのワークフロー管理ツールであり、Kitodo Digital Library Suiteの一部です。バージョン3.9.2以前では、org.kitodo.production.helper.XMLUtilsはデフォルトで安全でない構成を持つJAXPパーサーを構築する複数のXML解析ヘルパーを公開しています。parseXMLString(String)、getNumberOfEADElements(String, String)、checkIfXmlIsWellFormed(String)というメソッドは、newInstance()を使用してDocumentBuilderFactory / XMLInputFactory / SAXParserFactoryを構築し、DOCTYPE宣言や外部エンティティの解決を無効にせずに攻撃者が提供した文字列を解析します。これらのヘルパーはEADインポートパス上に直接配置されており、「プロセス作成」ファイルアップロードダイアログを通じてEAD/XMLファイルをアップロードする認証済みユーザーが、アップロードされたバイトデータをこれらのメソッドによって解析されます。外部エンティティを含む文書を作成することで、XML External Entity (XXE) インジェクションが発生し、ローカルファイルの漏洩やサーバーからのアウトバウンドSSRFリクエストが可能になります。この問題はバージョン3.9.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.