CVE-2026-61570 in Mpxj
要約
〜によって VulDB • 2026年09月22日
MPXJは、さまざまなファイル形式やデータベースからプロジェクトプランを読み書きするためのオープンソースライブラリです。バージョン5.5.5から16.4.1まで、MerlinReaderはMerlinプロジェクトのSQLiteデータベースのZTIMEINTERVALS列からのXMLを解析する際に、デフォルト設定でDocumentBuilderを作成し、DOCTYPE宣言と外部エンティリティが有効な状態になります。悪意のあるデータベースにより、パーサーが任意のローカルファイルを読み込む可能性があります。ただし、MPXJは解析されたXMLの後続処理を行うため、ファイル内容の開示は unlikely（起こりにくい）です。この問題はバージョン16.4.1で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.