CVE-2026-0989
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 — wyżej niż 34% wszystkich znanych CVE
Streszczenie
W parserze RelaxNG biblioteki libxml2 wykryto błąd w obsłudze zewnętrznych dołączeń schematów. Parser nie ogranicza głębokości zagnieżdżenia dyrektyw <include>, co może prowadzić do nadmiernej rekurencji podczas przetwarzania. Specjalnie spreparowane schematy mogą spowodować wyczerpanie stosu i awarię aplikacji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu Denial of Service (DoS) na aplikacje korzystające z libxml2 do przetwarzania schematów RelaxNG. Może to prowadzić do niedostępności usług i przerw w działaniu systemu.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę libxml2 do wersji, w której wprowadzono limit głębokości dołączeń schematów. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do przetwarzania niezaufanych schematów RelaxNG.
Oryginalny opis (angielski, źródło NVD)
A flaw was identified in the RelaxNG parser of libxml2 related to how external schema inclusions are handled. The parser does not enforce a limit on inclusion depth when resolving nested <include> directives. Specially crafted or overly complex schemas can cause excessive recursion during parsing. This may lead to stack exhaustion and application crashes, creating a denial-of-service risk.