libxml2: use-after-free al analizar XPath en Schematron (CVE-2025-49794)
Se encontró una vulnerabilidad use-after-free (CVSS 9.1) en libxml2. Ocurre al analizar elementos XPath cuando el XML Schematron contiene elementos de esquema. Un documento XML manipulado puede bloquear el programa o provocar otro comportamiento indefinido.
Revisado en Shield: sí
Quién está afectado
Aplicaciones que usan libxml2 y analizan XML no confiable con Schematron. La fuente no indica qué versiones son vulnerables.
Cómo comprobar
Comprueba si libxml2 está instalado y qué versión es (por ejemplo, dpkg -l libxml2 en sistemas tipo Debian), también dentro de imágenes de contenedor. Averigua si tus aplicaciones analizan XML no confiable con Schematron.
Cómo corregirlo
La fuente no indica el estado del parche. Está atento a las actualizaciones del paquete libxml2 de tu distribución y, cuando se publique una corrección, actualiza el paquete y reconstruye las imágenes.
Qué comprueba Shield gratis
La versión de libxml2 no se ve desde fuera, así que no hay una comprobación directa. Si tu servidor muestra la versión de PHP en las cabeceras X-Powered-By o Server, Shield lo señalará en el informe: en tu servidor puedes ver con qué libxml2 funciona esa compilación de PHP (php -i | grep -i libxml). Gratis.
Conviene saber
Aún no se han divulgado: las versiones afectadas y corregidas, ni el estado de explotación. Fuente: NVD, CVE-2025-49794.
