CVE-2026-17615

CVE CVE-2026-17615EUVD EUVD-2026-68654Veröffentlicht 2026-08-31T16:15:01.000ZZuletzt geändert 2026-09-04T08:00:38.000ZCVSS 7.5

Was das Advisory beschreibt

A flaw was found in RESTEasy's SourceProvider. This vulnerability allows an unauthenticated attacker to perform an unauthenticated remote file read. By sending a specially crafted XML body with a DOCTYPE declaration referencing external entities to an endpoint that accepts application/xml and returns Source or StreamSource, the server can be tricked into resolving the entity and including sensitive file contents in the HTTP response. This is due to the SourceProvider.writeTo() method creating a SAXParser without disabling external entity resolution, leading to an XML External Entity (XXE) vulnerability.

Quelle: EUVD (ENISA), im Wortlaut der Meldung.

Produkte, die das Advisory nennt

Diese Angaben stammen aus der Meldung selbst, nicht aus einer Prüfung durch uns.

• Red Hat — Red Hat Build of Keycloak
• Red Hat — Red Hat Enterprise Linux 8
• Red Hat — Red Hat Enterprise Linux 9
• Red Hat — Red Hat Fuse 7
• Red Hat — Red Hat JBoss Enterprise Application Platform 8
• Red Hat — Red Hat JBoss Enterprise Application Platform Expansion Pack
• Red Hat — Red Hat Satellite 6
• Red Hat — Red Hat build of Apache Camel 4 for Quarkus 3
• Red Hat — Red Hat build of Apicurio Registry 3
• Red Hat — Red Hat build of Debezium 3
• Red Hat — Red Hat build of Quarkus

Die genannten Versionen sind die Angabe der Meldung. Patchlage vergleicht keine Versionsnummern und leitet aus ihnen keine Aussage ab — welche Version installiert ist, muss ein Mensch nachsehen.

Im Produktkatalog geführt

Für diese Produkte kann ein Bestand in Patchlage erfasst werden. Ein Advisory dazu erscheint am Morgen danach im Lagebericht.

• Red Hat — Red Hat Enterprise Linux
• Red Hat — Red Hat JBoss Enterprise Application Platform
• Red Hat — Red Hat build of Keycloak

Patchlage meldet Treffer und Verdachtsfälle. Zu allem anderen sagt dieses System nichts — weder diese Seite noch der Lagebericht behauptet je, dass ein Bestand sicher ist.