XmlUtils::parse() active la validation DTD avant de rejeter les documents contenant un doctype, ce qui peut provoquer une résolution d'entités XML externes lors du chargement. Selon le contenu XML et la configuration, un attaquant capable de fournir ce contenu peut détecter l'existence de fichiers locaux, provoquer un déni de service ou, dans certains cas, exfiltrer des données.
Source : NVD — CVE-2026-123824
Analyse technique
La validation DTD intervient pendant loadXML(), avant le rejet du doctype; LIBXML_NONET ne bloque pas les entités file://. La faille concerne les applications qui transmettent directement du XML non fiable à XmlUtils::parse().
Impact, versions et correctif
Détection / vérification
Vérifier si XmlUtils::parse() reçoit du XML non fiable ou susceptible d’être contrôlé par un utilisateur.
Action recommandée
Mettre à niveau vers une version corrigée et ne pas transmettre de XML non fiable à XmlUtils::parse() sur les versions affectées.
Sources
Priorisation DFS : P4 · 1 source(s).