CVE-2022-2458

Una inyección de tipo XML external entity (XXE) es una vulnerabilidad que permite a un atacante interferir en el procesamiento de datos XML de una aplicación. Este ataque es producido cuando una entrada XML que contiene una referencia a una entidad externa es procesada por un parser XML débilmente configurado. El software procesa un documento XML que puede contener entidades XML con URIs que resuelven a documentos fuera del ámbito de control previsto, causando que el producto inserte documentos incorrectos en su salida. En este caso, la inyección de entidades externas XML conlleva a una interacción de servicios externos y la lectura de archivos internos en Business Central y también en las API de Kie-Server

An XML external entity injection(XXE) vulnerability was found in Business Central. This flaw allows an attacker to interfere with an application's processing of XML data. This attack occurs when XML input containing a reference to an external entity is processed by a weakly configured XML parser. The software processes an XML document that can contain XML entities with URIs that resolve to documents outside of the intended sphere of control, causing the product to embed incorrect documents into its output. Here, the XML external entity injection leads to External Service interaction and an Internal file read in Business Central and Kie-Server APIs.