lxml - CVE-2026-41066
Date de publication :
Il s'agit d'une vulnérabilité de type XXE dans les parseurs iterparse() et ETCompatXMLParser de lxml, dont la configuration par défaut (resolve_entities=True) permet la résolution d'entités externes.
lxml est une bibliothèque Python destinée au traitement et à l'analyse de documents XML et HTML. Elle constitue l'interface Python vers les bibliothèques C libxml2 et libxslt, et est largement utilisée dans les applications web, les pipelines de traitement de données et les outils d'intégration de systèmes.
Un attaquant peut soumettre un document XML forgé contenant une entité pointant vers un fichier local du serveur, dont le contenu est alors inclus dans la sortie du parseur.
Elle permet une atteinte à la confidentialité des données par lecture arbitraire de fichiers locaux sur le serveur hôte.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Atteinte à la confidentialité des données
Exploitation
CWE-611 : Improper Restriction of XML External Entity Reference
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
lxml versions antérieures à 6.1.0