CVE-2025-24911

Genel Bakış XML belgeleri isteğe bağlı olarak, diğer özelliklerinin yanı sıra XML varlıklarının tanımlanmasını sağlayan bir Belge Türü Tanımı (DTD) içerebilir. Bir varlığı, URI biçiminde bir ikame dizesi sağlayarak tanımlamak mümkündür. URI'nin içeriği okunduğunda, XML'i işleyen uygulamaya geri beslenir. Bu uygulama, verileri (ör. bir hata mesajında) geri yansıtabilir ve böylece dosya içeriğini açığa çıkarabilir. (CWE-611) Açıklama Hitachi Vantara Pentaho Business Analytics Server sürümlerinin 10.2.0.2 öncesi sürümleri, 9.3.x ve 8.3.x dahil olmak üzere, Data Access XMLParserFactoryProducer bileşenini bant dışı XML Dış Varlık Başvurusuna karşı doğru şekilde korumaz. Etki Bir saldırgan, file:// URI'si ile harici bir varlık tanımlayan bir XML dosyası göndererek, işleyen uygulamanın yerel bir dosyanın içeriğini okumasına neden olabilir. Saldırgan, http:// gibi diğer şemalara sahip URI'leri kullanarak, uygulamayı saldırganın doğrudan erişemediği sunuculara giden istekler yapmaya zorlayabilir; bu da güvenlik duvarı kısıtlamalarını atlatmak veya port taraması gibi saldırıların kaynağını gizlemek için kullanılabilir.