CVE-2026-48590 in xml_builder
Sumário
de VulDB • 21/08/2026
Vulnerabilidade de injeção de XML no joshnuss xml_builder (módulo XmlBuilder) permite Spoofing de Conteúdo e Injeção de XML.
Esta vulnerabilidade está associada aos arquivos do programa lib/xml_builder.ex e às rotinas do programa XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.element/1, XmlBuilder.element/2, XmlBuilder.element/3.
Os nomes dos elementos, os nomes dos atributos e os identificadores de DOCTYPE são interpolados literalmente na saída XML serializada sem validação ou escape de caracteres estruturais (<, >, ", ', &). Um atacante que possa influenciar um argumento name (por exemplo, um nome de elemento derivado da chave de um objeto JSON ou do nome de um campo de formulário HTTP) pode injetar marcação XML arbitrária, incluindo elementos extras, comentários e atributos de manipulador de eventos, no documento resultante.
Este problema afeta o xml_builder: das versões 0.0.1 até a versão anterior à 2.4.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.