Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-09700

Опубликовано: 25 мар. 2026
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость функции etree.iterparse() и ETCompatXMLParser() библиотеки для обработки разметки XML и HTML Lxml связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, читать произвольные файлы

Вендор

ООО «Ред Софт»
Stefan Behnel

Наименование ПО

РЕД ОС
Lxml

Версия ПО

7.3 (РЕД ОС)
8.0 (РЕД ОС)
до 6.1.0 (Lxml)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3
ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Lxml:
https://github.com/lxml/lxml/releases#release-lxml-6.1.0
Для РедОС:
https://redos.red-soft.ru/search/?iblock_id=&q=CVE-2026-41066

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 25%
0.00324
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
redos
около 1 месяца назад

Уязвимость python-lxml

CVSS3: 7.5
ubuntu
3 месяца назад

lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities='internal' or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.

CVSS3: 5.9
redhat
3 месяца назад

lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities='internal' or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.

CVSS3: 7.5
nvd
3 месяца назад

lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities='internal' or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.

msrc
3 месяца назад

lxml: Default configuration of iterparse() and ETCompatXMLParser() allows XXE to local files

EPSS

Процентиль: 25%
0.00324
Низкий

7.5 High

CVSS3

7.8 High

CVSS2