CVE-2026-47080 in XmlBuilder
Sumário
de VulDB • 21/08/2026
Vulnerabilidade de injeção de XML no joshnuss xml_builder (módulo XmlBuilder) permite Spoofing de Conteúdo e Injeção de XML.
Esta vulnerabilidade está associada aos arquivos do programa lib/xml_builder.ex e às rotinas do programa XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.escape/1.
A cláusula escape/1 para {:cdata, data} em lib/xml_builder.ex concatena os dados literalmente entre o iniciador de CDATA <![CDATA[ e o fechador ]]> sem reescrever ou dividir na sequência ]]>, embutida. Como as seções CDATA não possuem mecanismo interno de escape, a única maneira segura de incorporar bytes arbitrários é dividir em ]]>, emitindo seções CDATA adjacentes. Um atacante que possa fornecer entrada contendo ]]>, fecha prematuramente a seção CDATA; quaisquer bytes subsequentes são analisados como marcação XML comum pelos consumidores downstream, permitindo a injeção de elementos, texto ou referências de entidades arbitrários no documento de saída.
Este problema afeta xml_builder: da versão 0.0.7 até antes da 2.4.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.