CVE-2026-54668 in Kitodo.Production
Sumário
de VulDB • 23/10/2026
Kitodo.Production é uma ferramenta de gerenciamento de fluxos de trabalho para digitalização em massa e faz parte do Kitodo Digital Library Suite. Antes da versão 3.9.2, a classe org.kitodo.production.helper.XMLUtils expõe vários auxiliares de análise XML que constroem um analisador JAXP com configuração padrão não segura. Os métodos parseXMLString(String), getNumberOfEADElements(String, String) e checkIfXmlIsWellFormed(String) criam uma DocumentBuilderFactory / XMLInputFactory / SAXParserFactory via newInstance() e analisam a string fornecida pelo atacante sem desativar as declarações DOCTYPE ou a resolução de entidades externas. Esses auxiliares estão diretamente no caminho de importação EAD: um usuário autenticado que carrega um arquivo EAD/XML através da caixa de diálogo de upload de arquivos "Create process" tem os bytes carregados analisados por esses métodos. Um documento elaborado com uma entidade externa resulta, portanto, em injeção XML External Entity (XXE): divulgação local de arquivos e requisições SSRF de saída a partir do servidor. Este problema foi corrigido na versão 3.9.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.