CVE-2026-11112 – XXE mediante la carga de imágenes SVG

Código del programa (Python Flask + analizador XML)

# xxe_upload_server.py - Uploads SVG, renders with lxml resolving entities
from flask import Flask, request
from lxml import etree

app = Flask(__name__)

@app.route('/upload', methods=['POST'])
def upload_svg():
    svg_data = request.data
    # Vulnerable: parses with entity resolution enabled
    parser = etree.XMLParser(resolve_entities=True, no_network=False)
    doc = etree.fromstring(svg_data, parser)
    # Extract something from SVG
    return etree.tostring(doc)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-11112 – Inyección de entidad externa XML (XXE) mediante la carga de SVG

Resumen

Una aplicación web acepta cargas de imágenes SVG y las analiza con un analizador XML vulnerable que tiene habilitada la resolución de entidades externas. Un atacante puede incrustar una carga útil XXE para leer archivos locales, realizar SSRF o provocar una denegación de servicio.

Detalles de la vulnerabilidad

• Tipo: Inyección XXE
• Impacto: Lectura de archivos arbitrarios, escaneo de la red interna.
• Causa raíz: El analizador XML está configurado con resolve_entities=True y acceso a la red, lo que permite la expansión de entidades externas.

Demostración del exploit

1. Inicia el servidor de carga:
   root@kitploit:~

   pip install flask lxml
   python xxe_upload_server.py
   

2. Ejecuta el exploit:
   root@kitploit:~

   python exploit_xxe_svg.py