CVE-2026-92877 Inyección de entidades externas XML en JAXB
Los métodos de fábrica de JAXB se basaban históricamente solo en FEATURE_SECURE_PROCESSING para impedir la resolución de entidades externas XML (XXE). En implementaciones de JAXP donde esa característica por sí sola no bloquea la resolución de entidades externas, un atacante que logre que se desmarshale XML no confiable mediante JAXB puede leer archivos locales mediante XXE fuera de banda.
CVSS 4.0
- Probabilidad de explotación0,3 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Eclipse Foundation jaxb-ri (core)
4.0.44.0.9
Qué hacer
- Verificá si usás jaxb-ri (core) y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 8.3 ALTA
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
The JAXB factory methods historically relied solely on `FEATURE_SECURE_PROCESSING` to prevent XML External Entity (XXE) resolution. On JAXP implementations where that feature alone does not block external entity resolution, an attacker who can get untrusted XML unmarshalled through JAXB can read local files via out-of-band XXE.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.