CVE-2025-24910

Genel Bakış XML belgeleri isteğe bağlı olarak, diğer özelliklerin yanı sıra XML varlıklarının tanımlanmasına olanak tanıyan bir Belge Türü Tanımı (DTD) içerir. Bir URI biçiminde yer değiştirme dizesi sağlanarak bir varlık tanımlamak mümkündür. URI içeriği okunduğunda, XML'i işleyen uygulamaya geri beslenir. Bu uygulama veriyi (örneğin bir hata mesajında) geri yansıtabilir ve böylece dosya içeriklerini açığa çıkarabilir. (CWE-611) Açıklama 9.3.x ve 8.3.x dahil olmak üzere 10.2.0.2 öncesindeki Hitachi Vantara Pentaho Business Analytics Server sürümleri, Pentaho Data Integration MessageSourceCrawler bileşenini bant dışı XML External Entity Reference saldırılarına karşı doğru şekilde korumaz. Etki file:// URI ile harici bir varlık tanımlayan bir XML dosyası göndererek, bir saldırgan işlem yapan uygulamanın yerel bir dosyanın içeriğini okumasını sağlayabilir. http:// gibi diğer şemalara sahip URI'ler kullanarak saldırgan, uygulamayı doğrudan erişemediği sunuculara giden istekler yapmaya zorlayabilir; bu durum güvenlik duvarı kısıtlamalarını atlatmak veya port tarama gibi saldırıların kaynağını gizlemek için kullanılabilir.