CVE-2026-108086 Expansión de entidades XML que puede llevar a SSRF y exposición de información en Apache Cocoon

Qué es CVE-2026-108086

Restricción incorrecta de referencias de entidad recursivas en DTD (expansión de entidades XML) en Apache Cocoon, en todas las versiones. La XEE en el procesador de formularios fp: podría llevar a SSRF, incluida la exposición de archivos del servidor a un sistema externo no confiable. El proyecto está retirado y no se planea una versión que lo corrija; se recomienda buscar una alternativa o restringir el acceso a la instancia a usuarios de confianza.

Productos y versiones afectadas

• Apache Software Foundation Apache Cocoon

  • 0

Qué hacer

1. Verificá si usás Apache Cocoon y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

** UNSUPPORTED WHEN ASSIGNED ** Improper restriction of recursive entity references in DTDs ('XML entity expansion') vulnerability in Apache Cocoon. This issue affects Apache Cocoon: all versions. XEE in the fp: form processor could lead to SSRF, including exposing files from the server to an untrusted external system As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

Referencias

• lists.apache.org/thread/mt0h1cpjzps76nq6op7714rmnq6pbthtVENDOR-ADVISORY
• www.openwall.com/lists/oss-security/2026/10/20/2

Historial de la alerta

1. 20 OCT · 08:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.