CVE-2026-41066highCWE-611

CVE-2026-41066: falha de alta gravidade em lxml

lxml: Default configuration of iterparse() and ETCompatXMLParser() allows XXE to local files

Publicada em

Seguir esta CVE+ Monitorar lxml+ Monitorar lxml

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.3%
lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities='internal' or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
lxml · lxml
CVEs relacionadas — lxml

No mesmo produto, das mais perigosas para as menos.

CVE-2021-43818HIGHHTML Cleaner allows crafted and SVG embedded scripts to pass throughEPSS 2.7%CVE-2026-49825HIGHlxml: javascript: URL bypass in Cleaner via xlink:hrefEPSS 0.3%