CVE-2026-47079 in xml_builder
Сводка
по VulDB • 21.08.2026
Уязвимость некорректного кодирования для контекста вывода в joshnuss xml_builder (модуль XmlBuilder) позволяет осуществлять Content Spoofing и Cross-site Scripting.
Эта уязвимость связана с файлами программы lib/xml_builder.ex и программными процедурами XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.escape_string/1, XmlBuilder.escape_entity/1.
Функция XmlBuilder.generate/1 не экранирует литеральные символы & в тексте или значениях атрибутов, когда за ними следует токен, похожий на сущность (lt;, gt;, amp;, quot;, apos;). В результате ввод, предоставленный злоумышленником, такой как <script>, выводится дословно в сериализованный XML вместо экранирования до &lt;script&gt;. Когда последующий парсер XML позже читает документ, он декодирует последовательности сущностей в литеральные символы <script>, превращая внешне безобидный текст в реальную разметку. Это позволяет злоумышленнику обойти фильтры верхнего уровня, блокирующие сырые символы < и >, внедряя разметку в любого потребителя данных нижнего уровня, который парсит созданный XML и отображает текстовое содержимое в контексте, чувствительном к разметке (HTML, SVG, RSS/Atom ленты). Затронуты как текст элементов, так и значения атрибутов.
Эта проблема затрагивает xml_builder: от версии 0.0.6 до версии 2.4.1 (не включительно).
If you want to get best quality of vulnerability data, you may have to visit VulDB.