CVE-2026-40042Pachno 1.0.6版本存在XML外部实体注入（XXE）漏洞。该漏洞源于TextParser helper中的不安全XML解析，且未启用LIBXML_NONET限制。未经身份验证的攻击者可以通过问题描述、评论或Wiki文章中的Wiki表格语法和内联标签注入恶意XML实体，从而读取服务器上的任意文件。
该漏洞的核心在于Pachno的TextParser组件在处理用户输入时，使用了PHP的`simplexml_load_string()`函数解析XML数据，但未禁用外部实体的解析（缺少`LIBXML_NONET`标志）。攻击者无需登录即可利用此漏洞，通过在Wiki表格或内联标签中构造恶意的XML DTD（文档类型定义），触发XXE攻击。由于解析器会尝试解析攻击者指定的外部实体，攻击者可以利用`file://`协议读取服务器上的敏感文件（如`/etc/passwd`、应用配置文件或源代码等）。由于CVSS评分显示机密性、完整性和可用性均受到高影响，该漏洞危害性极高，整个过程无需用户交互即可通过网络远程触发。