Copernik XML Factory : résolution XInclude insuffisamment bloquée

Veille sécuritéBackend & données

P3Élevée

Copernik XML Factory ne bloquait pas la résolution de ressources XInclude avec le fournisseur JDK standard dans certaines configurations, ce qui pouvait permettre la lecture de fichiers locaux ou des requêtes vers le réseau interne lors de l’analyse de XML non fiable. La version 0.1.2 corrige le défaut; mettre à niveau si l’application utilise les API concernées et les conditions d’exploitation décrites.

IdentifiantCVE-2026-61586

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.1.2

Source : NVD — CVE-2026-61586

Analyse technique

L’exploitation requiert l’usage des API XmlFactories.newDocumentBuilderFactory(), XmlFactories.newSAXParserFactory() ou XmlFactories.harden(), l’activation explicite de XInclude (ou de la fonctionnalité équivalente du lecteur) et une entrée XML non fiable.

Impact, versions et correctif

Événement datéLa publication NVD du 2026-10-30T19:18:27.840Z et sa mise à jour du 2026-10-30T19:39:14.897Z sont dans la période; l’avis publié est retenu comme événement de sécurité.

ImpactDivulgation de fichiers locaux et requêtes côté serveur vers des ressources du réseau interne.

Versions affectéesVersions antérieures à 0.1.2. Le défaut décrit concerne le fournisseur JDK standard lorsque Xerces Apache est absent; les fournisseurs Xerces et Android sont indiqués comme non affectés.

Version corrigée0.1.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.2

Publication2026-10-30T19:18:27.840Z

Mise à jour2026-10-30T19:39:14.897Z

Action recommandée

Mettre à niveau vers Copernik XML Factory 0.1.2; vérifier que XInclude n’est pas activé lors de l’analyse de XML non fiable.

Sources

NVD — CVE-2026-61586

Priorisation DFS : P3 · 1 source(s).