CVE-2026-61570

MPXJ: XXE Vulnerability in MerlinReader

CVSS 3.1High

7.5/ 10.0

Опубликовано

22 сентября 2026 г.

Обновлено

24 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 16.4.1

Обновите библиотеку MPXJ до версии 16.4.1 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Инъекция внешних XML-сущностей (XXE) в парсере MerlinReader библиотеки MPXJ.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

При парсинге XML из колонки ZTIMEINTERVALS базы данных SQLite MerlinReader инициализирует DocumentBuilder с настройками по умолчанию, оставляя включенными DTD и внешние сущности.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Чтение произвольных локальных файлов парсером (LFI). Утечка данных маловероятна из-за специфики дальнейшей обработки XML в MPXJ.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

jonilesmpxj

>= 5.5.5➔Fix: 16.4.1

——

>= 5.5.5➔Fix: 16.4.1

——

>= 5.5.5➔Fix: 16.4.1

——

>= 5.5.5➔Fix: 16.4.1

——

>= 5.5.5➔Fix: 16.4.1

——

>= 5.5.5➔Fix: 16.4.1

——

>= 5.5.5➔Fix: 16.4.1

——

>= 5.5.5➔Fix: 16.4.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-61570: MPXJ: XXE Vulnerability in MerlinReader. URL: https://cve.futuretools.ru/cve/CVE-2026-61570

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_61570,
  title = {{CVE-2026-61570: MPXJ: XXE Vulnerability in MerlinReader}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-61570}},
  note = {Оперативный инженерный анализ киберугроз}
}