PT-2026-39200 · Unknown · Solidcam-Gppl-Ide

Anzory · Publicado 2026-05-08 · Atualizado 2026-05-09 · CVE-2026-42212

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas SolidCAM-GPPL-IDE versões 1.0.0 a 1.0.1

Descrição A abertura de um arquivo .gpp faz com que o servidor de linguagem analise um arquivo .vmid companheiro no mesmo diretório. O analisador de VMID utiliza XDocument.Load(path) sem XmlReaderSettings, o que no .NET 8 permite o processamento de Definições de Tipo de Documento (DTD). Isso possibilita a injeção de Entidades Externas de XML (XXE)—uma técnica onde uma aplicação processa entidades externas dentro de um documento XML—permitindo que um arquivo .vmid malicioso exponha arquivos locais via referências de entidades externas, esgote a memória através de expansão recursiva de entidades ou cause a negação de serviço via XML excessivamente grande ou profundamente aninhado.

Recomendações Atualizar para a versão 1.0.2.

Exploit

Correção

XML Entity Expansion

Resource Exhaustion

XXE

Enumeração de Fraquezas

CWE-776

CWE-400

CWE-611

Identificadores relacionados

CVE-2026-42212

Produtos afetados

Solidcam-Gppl-Ide

Referências · 7

• 🔥 https://github.com/anzory/SolidCAM-GPPL-IDE/security/advisories/GHSA-92vg-f4fq-fxm9 · Exploit
• https://github.com/anzory/SolidCAM-GPPL-IDE/commit/9d0ba808afd143ede448026a5dc681bfdc5c138d · Nota
• https://github.com/anzory/SolidCAM-GPPL-IDE/blob/master/CHANGELOG.md#102--2026-04-20 · Nota
• https://github.com/anzory/SolidCAM-GPPL-IDE/releases/tag/v1.0.2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42212 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2052973153001853066 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2053131436790808791 · Publicação no Twitter