CVE-2026-54668 in Kitodo.Production
요약
\~에 의해 VulDB • 2026. 10. 23.
Kitodo.Production은 대량 디지털화를 위한 워크플로우 관리 도구이며, Kitodo Digital Library Suite의 일부입니다. 버전 3.9.2 이전에는 org.kitodo.production.helper.XMLUtils가 기본 비보안 구성으로 JAXP 파서를 생성하는 여러 XML 파싱 헬퍼 메서드를 노출합니다. parseXMLString(String), getNumberOfEADElements(String, String) 및 checkIfXmlIsWellFormed(String) 메서드는 newInstance()를 통해 DocumentBuilderFactory / XMLInputFactory / SAXParserFactory를 빌드하고 DOCTYPE 선언 또는 외부 엔티티 해석을 비활성화하지 않은 채 공격자가 제공한 문자열을 파싱합니다. 이러한 헬퍼는 EAD-수입 경로에 직접 위치해 있습니다: "프로세스 생성" 파일 업로드 대화상자를 통해 EAD/XML 파일을 업로드하는 인증된 사용자는, 업로드된 바이트가 이 메서드들에 의해 파싱됩니다. 따라서 외부 엔티티를 포함하도록 작성된 문서는 XML External Entity (XXE) 인젝션을 유발하여 서버에서 로컬 파일 유출 및 아웃바운드 SSRF 요청이 발생합니다. 이 문제는 버전 3.9.2에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.