CVE-2026-47079 in xml_builder
Tóm tắt
Bởi VulDB • 21/08/2026
Lỗ bảo mật "Inappropriate Encoding for Output Context" trong joshnuss xml_builder (mô-đun XmlBuilder) cho phép Content Spoofing và Cross-site Scripting (XSS).
Lỗ bảo mật này liên quan đến các tệp chương trình lib/xml_builder.ex và các hàm chương trình XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.escape_string/1, XmlBuilder.escape_entity/1.
Hàm XmlBuilder.generate/1 không thực hiện việc escape (chuyển nghĩa) các ký tự & literal trong văn bản hoặc giá trị thuộc tính khi chúng được theo sau bởi một token giống entity (lt;, gt;, amp;, quot;, apos;). Kết quả là, đầu vào do kẻ tấn công cung cấp chẳng hạn như `<script>` sẽ được xuất ra nguyên văn dưới dạng XML đã tuần tự hóa thay vì được escape thành `&lt;script&gt;`. Khi một trình phân tích cú pháp XML ở tầng sau đọc tài liệu này, nó giải mã các chuỗi entity thành các ký tự literal `<script>`, biến đổi đoạn văn bản tưởng chừng vô hại thành markup thực sự. Điều này cho phép kẻ tấn công vượt qua các bộ lọc upstream chặn các ký hiệu raw < và >, chèn markup vào bất kỳ consumer downstream nào phân tích cú pháp XML được tạo ra và hiển thị nội dung văn bản trong ngữ cảnh nhạy cảm với markup (HTML, SVG, nguồn cấp RSS/Atom). Cả phần tử text lẫn giá trị thuộc tính đều bị ảnh hưởng.
Vấn đề này ảnh hưởng đến xml_builder: từ phiên bản 0.0.6 trở đi cho đến trước 2.4.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.