CVE-2026-76572
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W bibliotece pkp-lib (do wersji 3.3.0-22, 3.4.0-10, 3.5.0-4) wykryto podatność XML External Entity (XXE) w funkcji _transformPHP w pliku classes/xslt/XSLTransformer.php. Zdalny atakujący może wykorzystać tę podatność do odwołań do zewnętrznych encji XML. Poprawka jest dostępna w wersjach 3.3.0-23, 3.4.0-11 i 3.5.0-5.
Ocena ryzyka
Podatność może umożliwić atakującemu odczyt plików z serwera lub przeprowadzenie ataków typu SSRF, co może prowadzić do wycieku danych i naruszenia integralności systemu.
Rekomendacja
Zaktualizuj pkp-lib do wersji 3.3.0-23, 3.4.0-11 lub 3.5.0-5, aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in pkp pkp-lib up to 3.3.0-22/3.4.0-10/3.5.0-4. The affected element is the function _transformPHP of the file classes/xslt/XSLTransformer.php. The manipulation results in xml external entity reference. The attack can be executed remotely. Upgrading to version 3.3.0-23, 3.4.0-11 and 3.5.0-5 is sufficient to fix this issue. The patch is identified as 78c699370ea43ae2784e1c4ace7c947d207f2b47. Upgrading the affected component is advised.