VULNERABILIDADDetectada 06 NOV · 14:43

CVE-2026-123857 Inyección de entidades externas XML en JetBrains PhpStorm vía autodetección de ruleset de PHPMD

En JetBrains PhpStorm anterior a 2026.3 era posible una inyección de entidades externas XML (XXE) en proyectos no confiables mediante la autodetección de ruleset de PHPMD. Se corrige en la versión 2026.3.

4.3MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

JetBrains PhpStorm
hasta antes de 2026.3

Qué hacer

Verificá si usás PhpStorm y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioRequerida
AlcanceSin cambio
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Descripción original

In JetBrains PhpStorm before 2026.3 xXE was possible in untrusted projects via PHPMD ruleset autodetection

Referencias (1)

www.jetbrains.com/privacy-security/issues-fixed/

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.