BDU:2026-04327

Уязвимость атрибутов type, atype, flags библиотеки для анализа XML-документов Libxslt, позволяющей нарушителю выполнить произвольный код

Опубликовано: 2026-04-01

Описание

Уязвимость атрибутов type, atype, flags библиотеки для анализа XML-документов Libxslt связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Затрагиваемое ПО и версии

Safari (до 18.6)libxslt (1.1.38)libxml2 (до 2.15.0)Axiom AxiomJDK (до 8u452)Axiom AxiomJDK (до 11.0.27)Axiom AxiomJDK (до 17.0.15)Axiom AxiomJDK (до 21.0.7)

Способ устранения

Компенсирующие меры
- использование флагов "--nonet" "--noent" "--novalid" при вызове xsltproc;
- использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников;
- минимизация пользовательских привилегий;
- обрабатывать XML/XSLT внутри контейнера с "--read-only" и "--cap-drop=ALL".

Использование рекомендаций:
Для libxml2:
https://gitlab.gnome.org/GNOME/libxml2/-/blob/7c9b55356d77957fa0bd881f1c766ee1e65a4f77/VERSION
https://gitlab.gnome.org/GNOME/libxslt/-/issues/140#note_2479674

Для программных продуктов Apple:
https://support.apple.com/ru-ru/124152

Оценка CVSS

Балл	5.6 — высокая опасность

Источники и патчи

http://seclists.org/fulldisclosure/2025/Aug/0 https://www.openwall.com/lists/oss-security/2025/07/11/2 https://gitlab.gnome.org/GNOME/libxslt/-/issues/140 https://www.reddit.com/r/Proxmox/comments/1nnixsw/libxslt_cve20257425_on_debian_trixie_repos_show/https://gitlab.gnome.org/GNOME/libxslt/-/issues/140#note_2479674 https://support.apple.com/ru-ru/124152

Проверьте безопасность своего сайта и почты → Полная проверка домена