GHSA-555x-f7vj-p9qw

В версиях openEQUELLA до 2026.1 XML-парсер, используемый для метаданных элементов, не отключает разрешение внешних сущностей. Пользователь с разрешением CREATE_ITEM может отправить специально сформированный XML-запрос на /api/item, в результате чего сервер может прочитать произвольные файлы, доступные службе openEQUELLA, или отправить запросы в места, указанные злоумышленником, включая службы метаданных облачных экземпляров.