CVE-2026-47079

joshnuss xml_builder (XmlBuilder modülü) ürünündeki Çıktı Bağlamı için Uygunsuz Kodlama zafiyeti, İçerik Sahteciliği ve Siteler Arası Betik Çalıştırma (XSS) saldırılarına olanak tanır. Bu zafiyet lib/xml_builder.ex program dosyaları ve XmlBuilder.generate/1, XmlBuilder.generate/2, XmlBuilder.escape_string/1, XmlBuilder.escape_entity/1 program rutinleri ile ilişkilidir. XmlBuilder.generate/1, metin veya öznitelik değerlerinde bir varlık benzeri belirteç (lt;, gt;, amp;, quot;, apos;) tarafından takip edilen literal & karakterlerini kaçışlamaz. Sonuç olarak, &lt;script&gt; gibi saldırgan tarafından sağlanan girdi, &amp;lt;script&amp;gt; olarak kaçışlanmak yerine serileştirilmiş XML'e olduğu gibi yazılır. Alt akıştaki bir XML ayrıştırıcısı belgeyi daha sonra okuduğunda, varlık dizilerini literal <script> karakterlerine çözerek etkisiz görünen metni gerçek işaretlemeye dönüştürür. Bu, bir saldırganın ham < ve > karakterlerini engelleyen üst akış filtrelerini atlatmasına ve üretilen XML'i ayrıştırıp metin içeriğini işaretlemeye duyarlı bir bağlamda (HTML, SVG, RSS/Atom beslemeleri) işleyen herhangi bir alt akış tüketicisine işaretleme enjekte etmesine olanak tanır. Hem öğe metni hem de öznitelik değerleri etkilenir. Bu sorun xml_builder: 0.0.6 sürümünden 2.4.1 öncesine kadar etkiler.