Adobe Experience Manager - XML External Entity Injection

Adobe Experience Manager 6.5, 6.4, 6.3 and 6.2 are susceptible to XML external entity injection. An attacker can possibly obtain sensitive information, modify data, and/or execute unauthorized administrative operations in the context of the affected site. id: CVE-2019-8086 info: name: Adobe...

Akamai CloudTest < 60 2025.06.02 - XML External Entity (XXE)

Akamai CloudTest before 60 2025.06.02 12988 allows file inclusion via XML External Entity XXE injection. id: CVE-2025-49493 info: name: Akamai CloudTest 60 2025.06.02 - XML External Entity XXE author: xbow,3th1cyuk1 severity: critical description: | Akamai CloudTest before 60 2025.06.02 12988...

JIRA Workflow Designer Plugin in Atlassian JIRA Server > 6.3.0 - Remote Code Execution (XXE)

The JIRA Workflow Designer Plugin in Atlassian JIRA Server before 6.3.0 improperly uses an XML parser and deserializer, which allows remote attackers to execute arbitrary code, read arbitrary files, or cause a denial of service via a crafted serialized Java object. id: CVE-2017-5983 info: name:...

SysAid On-Prem <= 23.3.40 - XML External Entity

SysAid On-Prem versions = 23.3.40 are vulnerable to an unauthenticated XML External Entity XXE vulnerability in the Checkin processing functionality, allowing for administrator account takeover and file read primitives. id: CVE-2025-2775 info: name: SysAid On-Prem = 23.3.40 - XML External Entity...

IBM Maximo Asset Management Information Disclosure - XML External Entity Injection

IBM Maximo Asset Management is vulnerable to an XML external entity injection XXE attack when processing XML data. A remote attacker could exploit this vulnerability to expose sensitive information or consume memory resources. id: CVE-2020-4463 info: name: IBM Maximo Asset Management Information...

Apache OFBiz - XML External Entity Injection

The /webtools/control/xmlrpc endpoint in OFBiz XML-RPC event handler is exposed to External Entity Injection by passing DOCTYPE declarations with executable payloads that discloses the contents of files in the filesystem. In addition, it can also be used to probe for open network ports, and figur...

CVE-2021-29447

CVE-2021-29447 - WordPress XXE 漏洞利用 描述 该存储库包含一个针对 CVE-2021-29447 的 exploit，这是 WordPress 5.7.0 及更早版本中存在的一个 XXE（XML 外部实体）漏洞。该漏洞存在于处理 WAV 文件的媒体库中，允许攻击者读取服务器上的任意文件。 要求 Bash Python 3 Docker 和 Docker Compose（用于搭建测试环境） 存在漏洞的 WordPress 服务器（5.7.0 或更低版本） 文件 文件| 描述 ---|--- CVE-2021-29447.sh| 生成恶意 WAV payloa...

CVE-2022-0219

CVE-2022-0219 Jadx es vulnerable a una restricción inadecuada de entidades externas XML CWE-611 al exportar a gradle un archivo APK malicioso mediante la opción -e que contenga un AndroidManifest.xml / strings.xml manipulado. Puede provocar la divulgación de archivos locales cuando se utiliza des...

CVE-2023-45612-PoC

CVE-2023-45612 https://nvd.nist.gov/vuln/detail/CVE-2023-45612 CVE描述 在JetBrains Ktor 2.3.5之前，ContentNegotiation的默认配置与XML格式存在XXE漏洞。 该漏洞由@marychatte于2023年9月29日修复（https://github.com/ktorio/ktor/pull/3770），漏洞是由于外部库xmlutil version 0.86.1中的配置错误导致的供应链攻击。...

Blackash-CVE-2025-58360

🔓 🛰️ 'CVE-2025-58360' GeoServer WMS 端点易受 XXE 攻击 🌟 🏷️ 基本信息 CVE ID : CVE-2025-58360 发布时间 : 📅 2025年11月25日 最后修改 : 📅 2025年11月25日（截至11月26日仍为最新） 漏洞类型 : XML 外部实体 XXE – CWE-611 受影响软件 : GeoServer（用 Java 编写的开源地理空间服务器） 严重性 : 🔥 高 – CVSS v3.1 基础评分 7.5 向量: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L 野外利用情况 : 🟡...

ktor-cve-2023-45612-poc

Ktor XXE 漏洞概念验证（CVE-2023-45612） 摘要 影响：通过构造包含 XXE 引用的 XML DTD，可任意访问文件。 根因：不安全的 XML 文档解析器。 本仓库包含一个存在漏洞的 Ktor 2.3.4 应用，其配置允许外部实体，从而使 XXE 效果可见。 描述 用于 XML 外部实体注入（CVE-2023-45612）概念验证的易受攻击的 Ktor（v2.3.4）应用。 CVE-2023-45612 是 Ktor ContentNegotiation 中的一个 XXE（XML 外部实体）漏洞，当在 2.3.5. 之前的版本中启用 XML 时触发。 该漏洞对应...

CVE-2019-8997

CVE-2019-8997 BlackBerry AtHoc 早于 7.6 HF-567 版本的管理系统（控制台）中存在一个 XML 外部实体注入（XXE）漏洞，攻击者可能通过在现有字段中输入恶意构造的 XML，从而读取应用服务器上的任意本地文件或向网络发出请求。 报告人 Nolan B. Kennedy nxkennedy 安全公告 http://support.blackberry.com/kb/articleDetail?articleNumber=000047227 https://nvd.nist.gov/vuln/detail/CVE-2019-8997 博文...

CVE-2021-29447

WordPress 5.6-5.7 - Authenticated Author+ XXE CVE-2021-29447 Using Step1. Run WordPress root@kitploit: $ make up-wp Step2. Run Attacker web server root@kitploit: $ make up-mal Step3. Generate malicious WAV file Without wavefile npm Recommend root@kitploit: $ echo -en...

CVE-2025-58360

CVE-2025-58360 该漏洞为 CVE-2025-58360（CVSS 评分：8.2），是一个未经验证的 XML 外部实体（XXE）漏洞，影响 2.25.5 及之前的所有版本，以及 2.26.0 至 2.26.1 版本。该漏洞已在 2.25.6、2.26.2、2.27.0、2.28.0 和 2.28.1 版本中修复。人工智能（AI）驱动的漏洞发现平台 XBOW 已确认报告了该问题。 这种检测方法如何工作？ 该脚本会检查响应头中的最后更新日期，并根据供应商安全公告，匹配任何在 2025 年 11 月 28 日之前更新的版本：...

Tika-CVE-2025-66516-Lab

CVE-2025-66516 最小化验证环境 本项目用于验证 CVE-2025-66516 （Apache Tika 中的 XML 外部实体注入漏洞）。 漏洞简介 Apache Tika 3.2.1 及其之前版本在解析包含 XFA 表单的 PDF 文件时，未正确禁用外部实体加载，导致存在 XXE 漏洞。攻击者可通过构造恶意的 PDF 文件读取服务器上的敏感文件。 环境要求 JDK 11+ Maven 使用方法 1. 生成恶意 Payload 运行 org.example.ExploitGenerator 类。 该程序会在当前目录下生成 poc-xxe.pdf。 Windows : 尝试读...

CVE-2019-14678

CVE-2019-14678: SAS XML Mapper中的XML外部实体漏洞 SAS XML Mapper 9.45 存在一个XML外部实体（XXE）漏洞，恶意攻击者可通过多种方式利用该漏洞。例如：本地文件读取、带外文件泄露、服务器端请求伪造和/或潜在的拒绝服务攻击。当使用AUTOMAP选项时，此漏洞还会影响XMLV2 LIBNAME引擎。 厂商披露： 厂商关于此漏洞的披露和修复可在此处找到此处。 概念验证： 更多细节和利用过程可参见此PDF。 额外资源： XXE OoB Attack XML LOL Bomb Attack...

DEBIAN-CVE-2026-17615

A flaw was found in RESTEasy's SourceProvider. This vulnerability allows an unauthenticated attacker to perform an unauthenticated remote file read. By sending a specially crafted XML body with a DOCTYPE declaration referencing external entities to an endpoint that accepts application/xml and...

CVE-2026-17615 Resteasy-core: resteasy sourceprovider remote unauthenticated file read

A flaw was found in RESTEasy's SourceProvider. This vulnerability allows an unauthenticated attacker to perform an unauthenticated remote file read. By sending a specially crafted XML body with a DOCTYPE declaration referencing external entities to an endpoint that accepts application/xml and...

EUVD-2026-68654

A flaw was found in RESTEasy's SourceProvider. This vulnerability allows an unauthenticated attacker to perform an unauthenticated remote file read. By sending a specially crafted XML body with a DOCTYPE declaration referencing external entities to an endpoint that accepts application/xml and...

CVE-2026-17615 Resteasy-core: resteasy sourceprovider remote unauthenticated file read

A flaw was found in RESTEasy's SourceProvider. This vulnerability allows an unauthenticated attacker to perform an unauthenticated remote file read. By sending a specially crafted XML body with a DOCTYPE declaration referencing external entities to an endpoint that accepts application/xml and...