CVE-2024-55875

http4k, Kotlin HTTP tətbiqləri üçün funksional alətlər dəstidir. Versiya 6.50.0.0-dək olan versiyalarda, http4k sorğular daxilindəki zərərli XML məzmunlarını emal edərkən potensial XXE (XML External Entity Injection) boşluğu mövcuddur ki, bu da hücumçulara serverdə yerli həssas məlumatları oxumağa, Server-side Request Forgery (SSRF) tetikləməyə və bəzi hallarda kodu icra etməyə imkan verə bilər. v5.41.0.0 / v4.50.0.0 versiyalarında təqdim olunan orijinal düzəliş, standart `DocumentBuilderFactory`-də `ACCESS_EXTERNAL_DTD=""`, `ACCESS_EXTERNAL_SCHEMA=""` və `isExpandEntityReferences=false` parametrlərini təyin etməklə sənədləşdirilmiş xarici entiti hücum sinfini (SSRF, yerli faylların ifşası, kodun icrası) bağlamışdı. Lakin bir çatışmazlıq qalmışdı: xarici entitilərin həlli bloklandığı halda belə, parser hələ də `<!DOCTYPE>` deklarasiyaları olan sənədləri qəbul edirdi. Bu, etibarsız XML üzərində `Body.xml()` və ya `Document.asXmlDocument()` istifadə edən hər hansı tətbiqə qarşı "billion-laughs" tipli daxili entiti genişlənməsi vasitəsilə xidmətdən imtina (DoS) hücumlarının yolunu açıq saxlayırdı. v6.50.0.0 versiyası `defaultXmlParsingConfig`-ə `disallow-doctype-decl=true` və `FEATURE_SECURE_PROCESSING=true` əlavə etməklə bu çatışmazlığı aradan qaldırır. Artıq `<!DOCTYPE>` ehtiva edən hər hansı sənəd analiz zamanı rədd edilir.