CVE-2026-66294

Wstrzyknięcie XML w koderze Saxy XML. Saxy.Encoder.cdata/1 serializuje węzeł {:cdata, znaków}, zawijając dostarczone znaki pomiędzy <![CDATA[ i ]]> i przekazując ładunek bajt po bajcie. Ścieżki danych znakowych i wartości atrybutów kodera wymykają się metaznakom XML <, >, &, " i ', ale ścieżka CDATA nie stosuje żadnej neutralizacji. XML nie zapewnia mechanizmu zmiany znaczenia znaków w sekcji CDATA, więc jedynym poprawnym sposobem przedstawienia ]]> podciągu jest podzielenie sekcji i ponowne połączenie jej jako ]]]]><![CDATA[>. Saxy nie wykonuje tego podziału, ani nie odrzuca podciągu.

Aplikacja, która renderuje niezaufany tekst jako CDATA, budując węzeł za pomocą Saxy.XML.cdata/1 i serializując go za pomocą Saxy.encode!/2 lub Saxy.encode_to_iodata!/2, pozwala zatem atakującemu zakończyć sekcję w wybranej przez siebie pozycji. Wszystko podane po ]]> jest emitowane poza kontekstem CDATA i analizowane jako znaczniki, więc pojedyncze pole tekstowe kontrolowane przez osobę atakującą staje się strukturą dokumentu kontrolowaną przez osobę atakującą: dowolne elementy i atrybuty rodzeństwa, których aplikacja nigdy nie zbudowała. Dalsi konsumenci dokumentu seryjnego akceptują wprowadzone znaczniki jako autentyczne. Usługi generujące koperty SOAP, kanały RSS lub Atom, mapy witryn, pliki SVG lub eksporty XML z treści dostarczonych przez użytkowników mogą mieć sfałszowane lub zastąpione zaufane pola. Nie ma to wpływu na aplikacje, które nigdy nie umieszczają niezaufanego tekstu w węźle CDATA.

Ten problem dotyczy Saxy: od 0.7.0 do 1.7.0.