PT-2026-2160 · Leica Microsystems+1 · Xlef+1

Ron Edgerson · CVE-2026-22186 · Publicado 2026-01-07 · Atualizado 2026-02-26

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Bio-Formats até a 8.3.0 inclusive

Descrição As versões do Bio-Formats até a 8.3.0 inclusive contêm uma vulnerabilidade de Entidade Externa XML (XXE) no componente de análise de metadados da Leica Microsystems, como o XLEF. O analisador utiliza um DocumentBuilderFactory configurado de forma insegura ao processar arquivos de metadados baseados em XML da Leica, permitindo a expansão de entidades externas e o carregamento de DTD externo. Um arquivo de metadados manipulado pode desencadear solicitações de rede de saída (SSRF), acessar recursos locais do sistema que estejam legíveis ou causar uma negação de serviço durante a análise XML.

Recomendações Versões anteriores à 8.3.0 devem ser utilizadas.

Exploit

Correção

DoS

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2026-22186

GHSA-FCQJ-76G3-Q7QM

GHSA-X9VC-QH97-8GJP

Produtos afetados

Bio-Formats

Xlef

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22186.json · Exploit
• 🔥 https://seclists.org/fulldisclosure/2026/Jan/6 · Exploit
• https://github.com/ome/bioformats/security/advisories/GHSA-x9vc-qh97-8gjp · Correção, Aviso do Fabricante
• https://github.com/ome/bioformats · Nota
• https://vulncheck.com/advisories/bio-formats-xxe-in-leica-xlef-metadata-parser · Nota
• https://osv.dev/vulnerability/GHSA-fcqj-76g3-q7qm · Aviso do Fabricante
• https://docs.openmicroscopy.org/bio-formats · Nota
• https://twitter.com/CVEnew/status/2009020524517839007 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22186 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-22186 · Aviso do Fabricante
• https://t.me/cveNotify/153387 · Publicação no Telegram