EUVD-2026-11691

Publicatie: 2026-03-12 · Update: 2026-03-12

Samenvatting

Tolgee is een open-source lokalisatieplatform. Vóór 3.166.3 schakelden de XML-parsers die worden gebruikt voor het importeren van Android XML-resources (.xml) en .resx-bestanden de verwerking van externe entiteiten niet uit. Een geauthenticeerde gebruiker die vertaalbestanden in een project kan importeren, kan dit misbruiken om willekeurige bestanden van de server te lezen en server-side verzoeken te doen aan interne services. Deze kwetsbaarheid is verholpen in 3.166.3.

Wat betekent dit praktisch?

• Gebruik dit als externe signalering, niet als automatisch bewijs van impact op jouw omgeving.
• Als je dit item intern wilt triagen: noteer versies, exposure (internet/intern) en exploit-signalering.
• In HackSec kun je dit koppelen aan stack-profielen en alert policies (achter login).