CVE:CVE-2010-3260
CNNVD:CNNVD-201104-293
Orbeon Forms 3.9之前版本的XForms服务的xforms-server组件中的oxf/xml/xerces/XercesSAXParserFactoryImpl.java不能正确限制Ajax请求中的DTDs。远程攻击者可以借助与实体引用相结合的实体声明，读取任意文件或者向局域网服务器发送HTTP请求。
solution:Upgrade orbeon forms to a higher version than 3.8.1,1.5,2.0,2.1,2.2,2.5,2.6,2.7,2.8,3.0,3.5,3.6,3.7.1,3.8,and avoid the version (,3.8.1],1.5,2.0,2.1,2.2,2.5,2.6,2.7,2.8,3.0,3.5,3.6,3.7.1,3.8