CVE-2026-66090
CVE-2026-66090 · XML External Entity (XXE) Injection in Metadata Field Allows Arbitrary File Read
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
In openEQUELLA before 2026.1, the XML parser used for item metadata does not disable external entity resolution. A user permitted to create items (CREATE_ITEM) can submit crafted XML to POST /api/item and cause the server to read arbitrary files accessible to the openEQUELLA service, or make requests to attacker-specified locations (SSRF), including cloud instance metadata services.
CVSS 7.1 · Élevée · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
openequella
- Versions du logiciel
- ≥ 0, < 2026.1: Concernée (custom)
Mettez à jour vers 2026.1