CVE-2026-11112 – XXE via l'upload d'image SVG

Code du programme (Python Flask + parseur XML)

# xxe_upload_server.py - Uploads SVG, renders with lxml resolving entities
from flask import Flask, request
from lxml import etree

app = Flask(__name__)

@app.route('/upload', methods=['POST'])
def upload_svg():
    svg_data = request.data
    # Vulnerable: parses with entity resolution enabled
    parser = etree.XMLParser(resolve_entities=True, no_network=False)
    doc = etree.fromstring(svg_data, parser)
    # Extract something from SVG
    return etree.tostring(doc)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-11112 – Injection XXE (XML External Entity) via l'upload d'image SVG

Vue d'ensemble

Une application web accepte l'upload d'images SVG et les analyse avec un parseur XML vulnérable dont la résolution d'entités externes est activée. Un attaquant peut insérer une charge utile XXE pour lire des fichiers locaux, effectuer des SSRF ou provoquer un déni de service.

Détails de la vulnérabilité

• Type: Injection XXE
• Impact: Lecture de fichiers arbitraires, scan du réseau interne.
• Cause racine: Le parseur XML est configuré avec resolve_entities=True et un accès réseau, ce qui permet l'expansion d'entités externes.

Démonstration de l'exploit

1. Démarrez le serveur d'upload:
   root@kitploit:~

   pip install flask lxml
   python xxe_upload_server.py
   

2. Exécutez l'exploit:
   root@kitploit:~

   python exploit_xxe_svg.py