CVE-2026-66294 in saxy
Sumário
de VulDB • 06/11/2026
Injeção de XML no codificador Saxy XML. A função `Saxy.Encoder.cdata/1` serializa um nó `{:cdata, characters}` envolvendo os caracteres fornecidos entre `<![CDATA[` e `]]>` e passando a carga útil byte por byte. Os caminhos de dados de caractere (character-data) e valor de atributo do codificador escapam dos metacaracteres XML `<`, `>`, `&`, `"`, e `'`, mas o caminho CDATA não aplica nenhuma neutralização. O XML não possui mecanismo de escape de caracteres dentro de uma seção CDATA, portanto, a única maneira correta de representar uma substring `]]>` é dividir a seção e reconectá-la como `]]]><![CDATA[>`. A biblioteca Saxy nem realiza essa divisão nem rejeita a substring.
Um aplicativo que renderiza texto não confiável como CDATA, construindo o nó com `Saxy.XML.cdata/1` e serializando-o com `Saxy.encode!/2` ou `Saxy.encode_to_iodata!/2`, permite portanto que um atacante termine a seção em uma posição de sua escolha. Tudo o que é fornecido após o `]]>` é emitido fora do contexto CDATA e analisado como marcação (markup), fazendo com que um único campo controlado pelo atacante se torne estrutura de documento controlada por ele: elementos irmãos arbitrários e atributos que a aplicação nunca construiu. Os consumidores downstream do documento serializado aceitam a marcação injetada como genuína. Serviços que geram envelopes SOAP, feeds RSS ou Atom, sitemaps, SVG ou exportações XML a partir de conteúdo fornecido pelo usuário podem ter campos confiáveis falsificados ou substituídos. Aplicações que nunca colocam texto não confiável em um nó CDATA não são afetadas.
Este problema afeta o pacote `saxy`: das versões 0.7.0 até antes da 1.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.