CVE-2025-52888
Təsvir
Allure 2, çoxdilli test hesabatı aləti olan Allure Report-un 2.x budağıdır. Versiya 2.34.1-dən əvvəlki Allure 2 tərəfindən istifadə edilən xunit-xml-plugin-də kritik XML External Entity (XXE) zəifliyi mövcuddur. Plugin XML analizatorunu (`DocumentBuilderFactory`) təhlükəsiz şəkildə konfiqurasiya etmir və test nəticələri olan .xml fayllarını emal edərkən xarici entitilərin genişləndirilməsinə icazə verir. Bu, hücumçulara fayl sistemindən ixtiyari faylları oxumağa və potensial olaraq server tərəfli sorğu saxtakarlığını (SSRF) tetikləməyə imkan verir. Versiya 2.34.1 bu problem üçün düzəliş ehtiva edir.
Necə düzəltmək olar
- io.qameta.allure.plugins:xunit-xml-plugin2.34.1 və ya daha yeni versiya
- io.qameta.allure.plugins:junit-xml-plugin2.34.1 və ya daha yeni versiya
- io.qameta.allure.plugins:trx-plugin2.34.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| io.qameta.allure.plugins:xunit-xml-pluginMaven | v < 2.34.1 | 2.34.1 |
| io.qameta.allure.plugins:junit-xml-pluginMaven | v < 2.34.1 | 2.34.1 |
| io.qameta.allure.plugins:trx-pluginMaven | v < 2.34.1 | 2.34.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.