Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-09700

Опубликовано: 25 мар. 2026
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость функции etree.iterparse() и ETCompatXMLParser() библиотеки для обработки разметки XML и HTML Lxml связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, читать произвольные файлы

Вендор

ООО «Ред Софт»
ООО «РусБИТех-Астра»
Stefan Behnel

Наименование ПО

РЕД ОС
Astra Linux Special Edition
Lxml

Версия ПО

7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
8.0 (РЕД ОС)
до 6.1.0 (Lxml)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Lxml:
https://github.com/lxml/lxml/releases#release-lxml-6.1.0
Для РедОС:
https://redos.red-soft.ru/search/?iblock_id=&q=CVE-2026-41066
Для ОС Astra Linux:
обновить пакет libheif до 1.15.1-1+deb12u1.astra17.2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0820SE17
Для ОС Astra Linux:
обновить пакет lxml до 4.3.2-1+deb10u4.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2026-0907SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 26%
0.00324
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

redos логотип

ROS-20260622-73-0055

CVSS3: 7.5
redos
5 месяцев назад

Уязвимость python-lxml

altlinux логотип

ALT-PU-2026-17889

CVSS3: 7.5
altlinux
27 дней назад

ALT-PU-2026-17889: package `python3-module-lxml` update to version 6.1.2-alt1

ubuntu логотип

CVE-2026-41066

CVSS3: 7.5
ubuntu
7 месяцев назад

lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities='internal' or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.

redhat логотип

CVE-2026-41066

CVSS3: 5.9
redhat
7 месяцев назад

lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities='internal' or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.

nvd логотип

CVE-2026-41066

CVSS3: 7.5
nvd
7 месяцев назад

lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities='internal' or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.

EPSS

Процентиль: 26%
0.00324
Низкий

7.5 High

CVSS3

7.8 High

CVSS2