PT-2026-34232 · Pypi · Lxml

Brubbish · Publicado 2026-04-21 · Atualizado 2026-06-03 · CVE-2026-41066

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions lxml versões anteriores a 6.1.0

Description O uso da configuração padrão com a variável resolve entities definida como True permite que entradas XML não confiáveis leiam arquivos locais. Este problema afeta as funções iterparse() e ETCompatXMLParser().

Recommendations Atualizar para a versão 6.1.0. Como medida paliativa temporária, defina explicitamente a variável resolve entities como internal ou False para desativar o acesso a arquivos locais.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2026-41066

ECHO-E83F-9E30-4171

GHSA-VFMQ-68HX-4JFW

OESA-2026-2008

OESA-2026-2009

OESA-2026-2010

OESA-2026-2011

OESA-2026-2012

OPENSUSE-SU-2026:10596-1

PYSEC-2026-87

Produtos afetados

Lxml

Referências · 33

• 🔥 https://bugs.launchpad.net/lxml/+bug/2146291 · Exploit
• https://github.com/lxml/lxml/security/advisories/GHSA-vfmq-68hx-4jfw · Aviso do Fabricante
• https://github.com/lxml/lxml · Nota
• https://github.com/lxml/lxml/releases/tag/lxml-6.1.0 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/lxml/PYSEC-2026-87.yaml · Nota
• https://osv.dev/vulnerability/OESA-2026-2010 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-41066 · Nota
• https://reddit.com/r/VulnMatter/comments/1ssjoms/resumen_diario_de_vulnerabilidades_22042026 · Publicação no Reddit
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2026-41066 · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-2010 · Nota
• https://twitter.com/CVEnew/status/2047731895874601357 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-41066 · Nota de Segurança
• https://osv.dev/vulnerability/openSUSE-SU-2026:10596-1 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1ssnpas/resumen_diario_de_vulnerabilidades_22042026 · Publicação no Reddit
• https://docs.bell-sw.com/security/cves/CVE-2026-41066 · Nota