CVE-2026-40682

Apache OpenNLP DictionaryEntryPersistor-da təmizlənməmiş lüğət analizini vasitəsilə XML Xarici Entitet (XXE) zəifliyi Təsirə məruz qalan versiyalar: 2.5.9-dan əvvəlki, 3.0.0-M3-dən əvvəlki Təsvir: DictionaryEntryPersistor sinfi, klas yüklənmə zamanı FEATURE_SECURE_PROCESSING funksiyasını aktivləşdirmədən və ya DTD emalını deaktiv etmədən statik SAXParserFactory-ni başlatır. create(InputStream, EntryInserter) çağırıldıqda, XMLReader üzərində təyin edilən yeganə xüsusiyyət ad sahəsi (namespace) dəstəyidir — xarici entitetlərin həlli və DOCTYPE deklarasiyaları tam şəkildə aktiv qalır. Zərərli DOCTYPE deklarasiyası ehtiva edən hazırlanmış lüğət faylını (məsələn, dayandırma sözlərinin siyahısı və ya domen lüğəti) təmin edə bilən hücumçu, SAX analizi zamanı, tətbiq hələ bir dənə belə lüğət elementini emal etməzdən əvvəl, file:// entitet istinadları vasitəsilə lokal faylların ifşasına və ya http:// entitet istinadları vasitəsilə server tərəfli sorğu saxtakarlığına (SSRF) səbəb ola bilər. Bu, layihənin özünün düzgün şəkildə FEATURE_SECURE_PROCESSING və disallow-doctype-decl parametrlərini təyin edən və kod bazasındakı bütün digər XML analiz yollarında istifadə olunan XmlUtil.createSaxParser() köməkçi metodu ilə ziddiyyət təşkil edir. İctimai Dictionary(InputStream) konstruktoru birbaşa bu metoda müraciət edir və istifadəçi tərəfindən təmin edilən lüğətləri yükləmək üçün sənədləşdirilmiş API-dır ki, bu da etibarsız girişin real ssenari olduğunu göstərir. Yüngüllətmə: 2.x istifadəçiləri 2.5.9 versiyasına, 3.x istifadəçiləri isə 3.0.0-M3 versiyasına yüksəltmə etməlidirlər. Təcili yüksəltmə edə bilməyən istifadəçilər bütün lüğət fayllarının etibarlı mənbələrdən gəldiyindən əmin olmalı və Dictionary(InputStream) konstruktorunu, parser-ə çatmazdan əvvəl DOCTYPE deklarasiyası ehtiva edən hər hansı XML-i rədd edən giriş validasiyası ilə əhatə etməyi nəzərdən keçirməlidirlər.