Apache Solr 4.0.0 allows remote attackers to have an unspecified impact via the 'UpdateRequestHandler' for XSLT or 'XPathEntityProcessor', by injecting XML data containing an external entity declaration in conjunction with a valid entity reference, related to an XML External Entity (XXE) issue.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

Apache Solr 4.0.0 では、XML 外部エンティティ (XXE) の問題に関連する有効なエンティティ参照とともに外部エンティティ宣言を含む XML データを注入することで、XSLT の「UpdateRequestHandler」または「XPathEntityProcessor」を介してリモートの攻撃者が詳細不明な影響を与える可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

在 Apache Solr 4.0.0 版本中，遠端攻擊者可以藉由插入含有外部實體宣告的 XML 資料，並結合有效實體參照，透過適用於 XSLT 的 'UpdateRequestHandler' 或 'XPathEntityProcessor' 來造成不明影響，這與 XML 外部實體 (XXE) 問題有關。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

Apache Solr 4.0.0 允许远程攻击者通过注入包含外部实体声明以及有效实体引用的 XML 数据（与 XML 外部实体 (XXE) 问题相关），运用 XSLT 版“UpdateRequestHandler”或“XPathEntityProcessor”造成不明影响。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

The version of Apache Solr running on the remote web server is affected by multiple XML external entity injection vulnerabilities because the XML parser accepts XML data containing external entity declarations from untrusted sources. A remote, unauthenticated attacker can exploit this flaw to gain access to arbitrary files or to cause a denial of service condition.

リモート Web サーバーで実行している Apache Solr のバージョンは、複数の XML 外部エンティティインジェクションの脆弱性に影響を受けます。これは、XML パーサーが、信頼できないソースからの外部エンティティ宣言を含む XML データを受け入れるためです。認証されていないリモートの攻撃者がこの欠陥を悪用して、任意のファイルへのアクセス権限を取得したり、サービス拒否状態を引き起こしたりする可能性があります。

远程 Web 服务器上运行的 Apache Solr 版本受到多个 XML 外部实体注入漏洞的影响，原因是 XML 解析器接受来源不受信任的包含外部实体声明的 XML 数据。未经认证的远程攻击者可利用此缺陷访问任意文件或造成拒绝服务情况。

遠端 Web 伺服器上執行的 Apache Solr 版本受到多個 XML 外部實體插入弱點影響，這是因為 XML 剖析器從未受信任來源接受含有外部實體宣告的 XML 資料。未經驗證的遠端攻擊者可能會惡意利用此瑕疵，藉此取得任意檔案的存取權，或是造成拒絕服務情況。

Versions of Apache Solr prior to 5.0 are affected by multiple vulnerabilities :

 - A XXE injection flaw exists in 'UpdateRequestHandler' that is triggered during the parsing of XML data. The issue is due to an incorrectly configured XML parser accepting XML external entities from an untrusted source. By sending specially crafted XML data, a remote attacker can gain access to arbitrary files. (CVE-2012-6612, CVE-2013-6407)
 - A XXE injection flaw in 'DocumentAnalysisRequestHandler' exists that is triggered during the parsing of XML data. The issue is due to an incorrectly configured XML parser accepting XML external entities from an untrusted source. By sending specially crafted XML data, a remote attacker can gain access to arbitrary files. (CVE-2013-6408)

ID	名稱	產品	系列	已發布	已更新	嚴重性
98886	Apache Solr 4.0.0 XML External Entity	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	high
98886	Apache Solr 4.0.0 の XML 外部エンティティ	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	high
98886	Apache Solr 4.0.0 XML 外部實體	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	high
98886	Apache Solr 4.0.0 XML 外部实体	Web App Scanning	Component Vulnerability	2020/1/22	2023/3/14	high
71844	Apache Solr < 4.1.0 Multiple XML External Entity Injections	Nessus	CGI abuses	2014/1/7	2021/1/19	high
71844	Apache Solr < 4.1.0 複数の XML 外部エンティティインジェクション	Nessus	CGI abuses	2014/1/7	2021/1/19	high
71844	Apache Solr < 4.1.0 多个 XML 外部实体注入	Nessus	CGI abuses	2014/1/7	2021/1/19	high
71844	Apache Solr < 4.1.0 多個 XML 外部實體插入	Nessus	CGI abuses	2014/1/7	2021/1/19	high
9943	Apache Solr < 5.0 Multiple XXE	Nessus Network Monitor	CGI	2017/2/13	2019/3/6	medium

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

medium