joshnus xml_builder XML注入漏洞CVE-2026-47080通告

漏洞概述 漏洞编号：EEF-CVE-2026-47080 漏洞类型：XML注入漏洞 漏洞描述：在joshnus xml_builder（XmlBuilder模块）中存在内容欺骗、XML注入漏洞。该漏洞与程序文件lib/xml_builder.ex和程序例程XmlBuilder.generate/1、XmlBuilder.generate/2、XmlBuilder.escape/1相关。 漏洞原因：lib/xml_builder.ex中的escape/1函数在CDATA部分中直接拼接数据，没有重写或拆分嵌入的]]>序列。由于CDATA部分没有内部转义机制，唯一安全的方法是将]]>拆分为]]>并相邻的CDATA部分。攻击者可以提供包含]]>的输入，提前关闭CDATA部分，后续任何被视为普通XML标记的字节都会被下游消费者解析，允许注入任意元素、文本或实体引用到输出文档中。 影响范围 受影响版本：joshnus xml_builder从0.07到2.4.1 修复方案 修复版本：升级到2.4.1或更高版本 POC代码或利用代码 页面中未提供具体的POC代码或利用代码。 其他信息 CVSS评分：2.1 (Low) CVSS向量：CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VA:N/SC:N/SI:L/SA:N 发布日期：2026-08-21T09:49:34.772Z 修改日期：2026-08-21T10:11:02.19647697Z 来源：https://cve.cnn.org/osv/EEF-CVE-2026-47080.html 导入来源：https://cve.cnn.org/osv/EEF-CVE-2026-47080.json JSON数据：https://api.osv.dev/v1/vulns/EEF-CVE-2026-47080 别名：CVE-2026-47080 CISA-917：https://www.cisa.gov/known-exploited-vulnerabilities-catalog 数据库特定信息： - CAPEC IDs: CAPEC-250 - CWE IDs: CWE-91 - CPE IDs: cpe:2.3:a:joshnus:xml_builder:::::::: 以上信息总结了漏洞的关键细节，包括漏洞概述、影响范围、修复方案以及其他相关信息。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

joshnus xml_builder XML注入漏洞CVE-2026-47080通告

目标达成感谢每一位支持者 — 我们达成了 100% 目标！