CVE-2026-11112 – 通过 SVG 图片上传实现 XXE

程序代码（Python Flask + XML 解析器）

# xxe_upload_server.py - Uploads SVG, renders with lxml resolving entities
from flask import Flask, request
from lxml import etree

app = Flask(__name__)

@app.route('/upload', methods=['POST'])
def upload_svg():
    svg_data = request.data
    # Vulnerable: parses with entity resolution enabled
    parser = etree.XMLParser(resolve_entities=True, no_network=False)
    doc = etree.fromstring(svg_data, parser)
    # Extract something from SVG
    return etree.tostring(doc)

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-11112 – 通过 SVG 上传进行 XML 外部实体（XXE）注入

概述

该 Web 应用接受 SVG 图片上传，并使用启用了外部实体解析的易受攻击的 XML 解析器进行解析。攻击者可以嵌入 XXE 载荷来读取本地文件、执行 SSRF 或造成拒绝服务。

漏洞详情

类型： XXE 注入
影响： 任意文件读取、内部网络扫描。
根本原因： XML 解析器配置了 resolve_entities=True 并允许网络访问，从而允许扩展外部实体。

漏洞利用演示

启动上传服务器：

pip install flask lxml
python xxe_upload_server.py

运行漏洞利用脚本：
```
python exploit_xxe_svg.py
```

CVE-2026-11112-XXE-via-SVG-Image-Upload

最受欢迎