CVE-2026-102495
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Apache XmlSchema nie ogranicza głębokości zagnieżdżenia importów i dołączeń schematów, więc złośliwy schemat może wymusić rekurencję parsowania aż do przepełnienia stosu. Prowadzi to do odmowy usługi (denial of service). Problem naprawiono w wersji 2.3.3.
Ocena ryzyka
Atakujący może dostarczyć specjalnie przygotowany schemat XML i doprowadzić do wyczerpania stosu oraz awarii aplikacji przetwarzającej schematy. Skutkuje to niedostępnością usługi dla legalnych użytkowników.
Rekomendacja
Zaktualizuj Apache XmlSchema do wersji 2.3.3 lub nowszej. Do czasu aktualizacji ogranicz przetwarzanie niezaufanych schematów XML.
Inne podatności w Apache XmlSchema
Zobacz wszystkie- CVE-2026-102497Wysokie
Walker Apache XmlSchema (xmlschema-walker) nie wykrywa cykli w wyprowadzaniu typów, grupach substytucyjnych, grupach modeli ani grupach atrybutów. Złośliwy schemat z takim cyklem może spowodować rekurencję walkera aż do przepełnienia stosu, co prowadzi do odmowy usługi. Zalecana jest aktualizacja do wersji 2.3.3.
- CVE-2026-102496Wysokie
Apache XmlSchema nie ogranicza głębokości zagnieżdżenia struktur schematu podczas budowania modelu schematu, więc złośliwy schemat może spowodować rekurencję parsowania aż do przepełnienia stosu. Powoduje to odmowę usługi. Zalecana jest aktualizacja do wersji 2.3.3.
Oryginalny opis (angielski, źródło NVD)
Apache XmlSchema doesn't limit how deeply schema imports and includes can be nested, so a malicious schema can make parsing recurse until the stack overflows. This causes a denial of service. Users are recommended to upgrade to version 2.3.3, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS