CVE-2025-31497

TEIGarage, başta TEI formatı olmak üzere çeşitli formatları dönüştürmek ve doğrulamak için kullanılan bir web servisi ve RESTful servisidir. Document Conversion Service, belge dönüştürme işlevinde kritik bir XML External Entity (XXE) Enjeksiyonu zafiyeti içermektedir. Servis, dönüştürme işlemi sırasında XML dosyalarını işlemiş ancak harici varlık işlemeyi devre dışı bırakmayı başaramamıştır; bu durum, bir saldırganın sunucunun dosya sisteminden rastgele dosyaları okumasına olanak tanır. Bu zafiyet, saldırganların sunucu dosya sistemindeki hassas dosyaları okumasına izin vererek yapılandırma dosyalarının, kimlik bilgilerinin veya diğer gizli bilgilerin açığa çıkmasına neden olabilir. Ek olarak, sunucu yapılandırmasına bağlı olarak, sunucuyu dahili servislere bağlayarak sunucu taraflı istek sahteciliği (SSRF) saldırıları gerçekleştirmek için kullanılabilir. Bu sorun versiyon 1.2.4 ile düzeltilmiştir. Bu zafiyete karşı geçici çözüm, uygun güvenlik özelliklerini (örneğin, XMLConstants.FEATURE_SECURE_PROCESSING) ayarlayarak XML ayrıştırıcısında harici varlık işlemeyi devre dışı bırakmaktır.