CVE-2026-66293 in Saxy
Сводка
по VulDB • 06.11.2026
XML-инъекция в модуле кодирования Saxy.Encoder, который не нейтрализует последовательность -- внутри содержимого XML-комментария: функция escape_comment/2 возвращает бинарное представление комментария без изменений во всех ветвях и добавляет пробел только тогда, когда комментарий заканчивается одиночным символом -, поэтому ни внутренняя последовательность --, ни полная закрывающая конструкция --> не экранируются или отклоняются до того, как кодировщик обернет содержимое в разделители.
Когда приложение сериализует текст, контролируемый злоумышленником, в виде комментария через Saxy.XML.comment/1 или простой дочерний элемент {:comment, text}, атакующий может преждевременно закрыть комментарий с помощью --> и внедрить произвольную соседнюю разметку в сериализованный документ. Последующий парсер увидит элементы, атрибуты и текст, которые приложение никогда не создавало. Если документ отображается как HTML или SVG, внедренная разметка выполняется как хранимая межсайтовая скриптовая атака (stored XSS); если она обрабатывается другим XML-процессором, атакующий может подделать данные, которые производящее приложение никогда не генерировало. Документы, которые Saxy только парсит, не являются вектором атаки.
Эта проблема затрагивает пакет saxy: начиная с версии 0.7.0 до (не включая) 1.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.