Copernik XML Factory: XML External Entity Injection über XInclude im Stock-JDK-Provider
Zusammenfassung
Copernik XML Factory, eine Java-Bibliothek zur sicheren Erstellung von XML-Parsern, blockiert die XInclude-Auflösung nicht, wenn der Stock-JDK-Parser verwendet und XInclude in einer Anwendung aktiviert wird. Ein Angreifer, der XML an eine solche Anwendung senden kann, kann lokale Dateien lesen oder über http-Referenzen Server-Side Request Forgery in interne Netzwerke ausführen. Voraussetzung sind fehlendes Apache Xerces im Classpath, ein explizit aktiviertes XInclude und unvertrauenswürdige XML-Eingaben.
Betroffen
- Copernik XML Factory (eu.copernik:copernik-xml-factory) Versionen vor 0.1.2
- Nur der Stock-JDK-Provider ist betroffen, wenn Apache Xerces nicht im Classpath liegt
- Der Xerces-Provider und der Android-Provider sind nicht betroffen
Behoben in
- Behoben in Version 0.1.2
Umgehung
- Apache Xerces (xercesImpl) in den Classpath aufnehmen, damit die Bibliothek den nicht betroffenen Xerces-Provider wählt, und prüfen, ob die Anwendung diesen tatsächlich verwendet
- XInclude auf Parsern, die unvertrauenswürdiges XML verarbeiten, nicht aktivieren
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Nicht im CISA-KEV-Katalog gelistet
- Kein bestätigter öffentlicher Proof of Concept gefunden; als unverifiziert behandeln
- EPSS laut Angabe: 0.36 % (Perzentil 30)
Unsere Empfehlung
- Prüfen, ob In-house- oder Drittanbieter-Java-Anwendungen copernik-xml-factory vor 0.1.2 verwenden (Abhängigkeitsbaum oder SBOM)
- Auf Version 0.1.2 oder neuer aktualisieren oder die Xerces-Massnahme anwenden und überprüfen
- Sicherstellen, dass keine Anwendung XInclude für unvertrauenswürdige Eingaben aktiviert
- Softwarelieferanten um eine schriftliche Bestätigung ihres Status bitten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-xm28-xvqc-gxxg github.com
- Release v0.1.2 github.com
- Fix commit 2fa042c github.com
- Fix commit e5febc6 github.com
- GitLab Advisory Database CVE-2026-61586 advisories.gitlab.com
- OSV GHSA-xm28-xvqc-gxxg osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:32.
Referenzen der NVD (4)
- https://github.com/copernik-eu/copernik-xml-factory/commit/2fa042c44931b0a4ddd585d62b97a8a987efd6c6
- https://github.com/copernik-eu/copernik-xml-factory/commit/e5febc6039ed4b0088245acb80ed7d6d6a7f5537
- https://github.com/copernik-eu/copernik-xml-factory/releases/tag/v0.1.2
- https://github.com/copernik-eu/copernik-xml-factory/security/advisories/GHSA-xm28-xvqc-gxxg
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.