در نسخه‌های پیش از 2026.1 نرم‌افزار openEQUELLA، پارسر XML (XML parser) که برای مدیریت متادیتای آیتم‌ها استفاده می‌شود، قابلیت حل موجودیت‌های خارجی (external entity resolution) را غیرفعال نکرده است.
یک کاربر که دارای مجوز ایجاد آیتم (CREATE_ITEM) باشد، می‌تواند با ارسال یک XML دستکاری‌شده از طریق مسیر POST /api/item، باعث شود سرور فایل‌های دلخواه (arbitrary files) در دسترس سرویس openEQUELLA را بخواند. علاوه بر این، این آسیب‌پذیری امکان انجام حملات SSRF (Server-Side Request Forgery) را فراهم می‌کند که می‌تواند شامل ارسال درخواست به مکان‌های مشخص‌شده توسط مهاجم، از جمله سرویس‌های متادیتای نمونه‌های ابری (cloud instance metadata services)، باشد.
