CVE-2026-40042: Injeção de Entidade Externa XML (XXE) no TextParser do Pachno 1.0.6
O Pachno 1.0.6 contém uma falha de injeção de entidade externa XML no auxiliar TextParser que, segundo o registro, pode ser acessada sem autenticação. O impacto descrito é a leitura de arquivos arbitrários, com pontuação base CVSS 3.1 de 9,8 (crítica). Não há exploração confirmada nas fontes consultadas e a CVE não consta no catálogo KEV da CISA.
Visão geral
O Pachno 1.0.6 é afetado por uma falha de injeção de entidade externa XML (XXE) no auxiliar TextParser. Segundo o registro, conteúdos wiki como descrições de issues, comentários e artigos wiki são processados como XML de forma que permite a resolução de entidades externas.
Impacto
- O registro afirma que atacantes não autenticados podem ler arquivos arbitrários.
- O vetor CVSS 3.1 presente no registro indica vetor de rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. A pontuação base é 9,8.
- Inferência: o impacto prático depende de quais arquivos o processo da aplicação consegue ler e do conteúdo devolvido ao solicitante.
Produtos e versões afetados
- A descrição identifica o Pachno 1.0.6. O registro não lista intervalos de versões afetadas nem versões corrigidas.
- A ausência de versão corrigida no registro não significa que não exista correção. Consulte o fornecedor e os avisos referenciados.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. O registro inclui probabilidade EPSS de 0,00622 com percentil de 0,4845.
Correção e mitigação
- Identifique todas as implantações do Pachno e verifique no fornecedor ou nos avisos referenciados se há versão atualizada.
- Até que a correção seja aplicada, limite a exposição dos recursos de wiki e issues a usuários confiáveis sempre que possível, e revise as permissões de arquivos da conta da aplicação para que arquivos sensíveis não sejam legíveis por ela.
- Como item de revisão de código, avalie a configuração do parsing XML na aplicação, já que o registro indica que não há restrições de acesso de rede para a resolução de entidades.
Orientações de detecção
- Revise os logs web e da aplicação em busca de envios incomuns de wiki ou issues que contenham marcação XML ou declarações de entidades.
- Monitore o servidor da aplicação para conexões de saída inesperadas, que podem indicar resolução de entidades externas.
- Observe respostas da aplicação com conteúdo de arquivos inesperado.
Limitações das informações disponíveis
- O registro não tem título, intervalo de versões afetadas, versão corrigida nem nome do CWE. O CWE listado é o CWE-403, que deve ser revisado em relação à descrição de XXE.
- A pontuação CVSS 4.0 de 9,3, fornecida pelo CNA, consta no registro sem vetor.
- O registro não descreve a resposta do fornecedor nem a disponibilidade de correção.
Perguntas frequentes
Qual é o principal risco desta vulnerabilidade no Pachno?
Segundo o registro, atacantes não autenticados podem ler arquivos arbitrários do servidor por meio de injeção de entidade externa XML no auxiliar TextParser. A pontuação base CVSS 3.1 no registro é 9,8.
Há exploração ativa conhecida desta CVE?
O registro indica que ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Quais versões são afetadas e existe correção?
A descrição identifica o Pachno 1.0.6. O registro não lista intervalos afetados nem versões corrigidas, então é preciso consultar o fornecedor e os avisos referenciados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.