george0papasotiriou/cve-2026-11112-xxe-via-svg-image-uploadДемонстрирует XXE через загрузку SVG с уязвимым парсером Flask/lxml и эксплойт-скрипт для проверки чтения произвольных файлов, SSRF и отказа в обслуживании.
# xxe_upload_server.py - Uploads SVG, renders with lxml resolving entities
from flask import Flask, request
from lxml import etree
app = Flask(__name__)
@app.route('/upload', methods=['POST'])
def upload_svg():
svg_data = request.data
# Vulnerable: parses with entity resolution enabled
parser = etree.XMLParser(resolve_entities=True, no_network=False)
doc = etree.fromstring(svg_data, parser)
# Extract something from SVG
return etree.tostring(doc)
if __name__ == '__main__':
app.run(port=5000)
Веб-приложение принимает загрузку SVG-изображений и обрабатывает их с помощью уязвимого XML-парсера, в котором включено разрешение внешних сущностей. Злоумышленник может внедрить XXE-пейлоад для чтения локальных файлов, выполнения SSRF или вызова отказа в обслуживании.
resolve_entities=True и сетевым доступом, что допускает раскрытие внешних сущностей.pip install flask lxml
python xxe_upload_server.py
python exploit_xxe_svg.py