Apache Tika 1.13 < 3.2.2 XXE (CVE-2025-66516)

critical Nessus Plugin ID 281841

語言:

概要

遠端主機上的資料庫程式庫受到 XXE 弱點影響。

說明

遠端主機上執行的 Apache Tika 版本比 3.2.2 舊。因此，會受到 XXE 弱點影響：

- Apache Tika tika-core (1.13-3.2.1) 中的重大 XXE，允許攻擊者透過 PDF 內的特製 XFA 檔案執行 XML 外部實體插入。此 CVE 涵蓋與 CVE-2025-54988 中相同的弱點。不過，此 CVE 受影響套件的範圍更大，原因有二。首先，雖然弱點的進入點是 CVE-2025-54988 中所報告的 tika-parser-pdf-module，但弱點及其修復卻位於 tika-core。已升級 tika-parser-pdf-module 但未將 tika-core 升級至 >= 3.2.2 的使用者，仍會受到影響。第二，原始報告未提及在 1.x Tika 版本中，PDFParser 位於「org.apache.tika:tika-parsers」模組。(CVE-2025-66516)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。