JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024365 HAPI FHIRは、Javaにおける医療相互運用性のためのHL7 FHIR標準を完全に実装したライブラリです。バージョン6.9.10以前では、org.hl7.fhir.utilities.XsltUtilitiesのsaxonTransform(...)のオーバーロードが、ACCESS_EXTERNAL_DTDやACCESS_EXTERNAL_STYLESHEETの制限を設けずに生のnet.sf.saxon.TransformerFactoryImpl()をインスタンス化していました。そのため、変換されるXMLを制御または改ざんできる攻撃者が、ローカルファイルの開示やブラインドXXE、ホストから到達可能な任意のURLへのSSRFを引き起こすXML外部エンティティ注入を誘発する可能性がありました。この問題はバージョン6.9.10で修正されています。 cpe:/a:hapifhir:hl7_fhir_core https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024365.html Common Vulnerabilities and Exposures (CVE) CVE-2026-55471 https://www.cve.org/CVERecord?id=CVE-2026-55471 National Vulnerability Database (NVD) CVE-2026-55471 https://nvd.nist.gov/vuln/detail/CVE-2026-55471 GitHub XXE in XsltUtilities.saxonTransform via unhardened Saxon TransformerFactory Advisory hapifhir/org.hl7.fhir.core GitHub https://github.com/hapifhir/org.hl7.fhir.core/security/advisories/GHSA-2f55-g35j-5jmf JVNDB CWE-611 https://cwe.mitre.org/data/definitions/611.html 関連文書 Release 6.9.10 hapifhir/org.hl7.fhir.core GitHub https://github.com/hapifhir/org.hl7.fhir.core/releases/tag/6.9.10 関連文書 Add newXXEProtectedSaxonTransformerFactory + tests + checkstyle hapifhir/org.hl7.fhir.core@01ca2ec GitHub https://github.com/hapifhir/org.hl7.fhir.core/commit/01ca2ecdefec9b33204d2495fe78af8c0dc52298 2026-07-21T10:41:00+09:00 2026-07-21T10:41:00+09:00