CVE-2026-118975— Telerik Reporting SVG 处理 XXE 注入漏洞
一分钟漏洞结论
影响对象
Progress Software Telerik Reporting
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在版本 20.3.26.1110 之前的 In Progress® Telerik® Reporting 中，SVG 处理引擎对 XML 外部实体（XXE）引用的限制不当，导致拥有低权限但已认证的攻击者，若能够向报表提供 SVG 内容，即可从报表渲染主机读取本地文件或 UNC 路径文件，或触发服务器端网络请求。SVG 内容中的外部 XML 实体在解析时未应用已配置的严格资源解析器及报表路径验证机制。可泄露的内容范围受限于渲染进程的权限，以及最终渲染报表输出所暴露的信息。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-118975 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
XML External Entity (XXE) Injection in Telerik Reporting SVG Processing
来源: CVE Program / CVE List V5
Vulnerability Description
In Progress® Telerik® Reporting prior to version 20.3.26.1110, improper restriction of XML external entity references in the SVG processing engine allows an authenticated attacker with low privileges who can supply SVG content to a report to read local or UNC files, or trigger server-side network requests, from the report rendering host. External XML entities in SVG content were resolved without applying the configured strict resource resolver and report path validation. Disclosed content is limited by the permissions of the rendering process and by what the rendered report output exposes.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
XML外部实体引用的不恰当限制(XXE)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Progress Software | Telerik Reporting | 0 ~ 20.3.26.1110 | - |
|
二、漏洞 CVE-2026-118975 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-118975 的情报信息
请登录查看更多情报信息。
CVE-2026-118975 其他参考 (1)
同批安全公告 · Progress Software · 2026-11-12 · 共 7 条
| CVE-2026-124705 | 7.8 HIGH | Telerik UI for .NET MAUI 重定向到不可信站点漏洞 |
| CVE-2026-124704 | 7.8 HIGH | Telerik UI for WPF 反序列化漏洞 |
| CVE-2026-124703 | 7.8 HIGH | Telerik UI for WPF 代码生成控制不当漏洞 |
| CVE-2026-124701 | 7.8 HIGH | Telerik UI for WinForms 不可信数据反序列化漏洞 |
| CVE-2026-124699 | 7.8 HIGH | Telerik UI for WinForms 代码生成控制不当漏洞 |
| CVE-2026-106140 | 7.3 HIGH | Telerik Reporting 反序列化漏洞 |
IV. Related Vulnerabilities
Same product: Telerik Reporting