CVE-2025-52888
Açıklama
Allure 2, çok dilli bir test raporlama aracı olan Allure Report'un 2.x dalıdır. Allure 2'nin 2.34.1 sürümünden önceki versiyonlarında kullanılan xunit-xml-plugin içerisinde kritik bir XML External Entity (XXE) zafiyeti bulunmaktadır. Eklenti, XML ayrıştırıcıyı (`DocumentBuilderFactory`) güvenli bir şekilde yapılandırmamakta ve test sonucu .xml dosyalarını işlerken harici varlık genişletilmesine izin vermektedir. Bu durum, saldırganların dosya sisteminden rastgele dosyaları okumasına ve potansiyel olarak sunucu taraflı istek sahteciliği (SSRF) tetiklemesine olanak tanır. 2.34.1 sürümü bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- io.qameta.allure.plugins:xunit-xml-plugin2.34.1 ya da sonraki bir sürüm
- io.qameta.allure.plugins:junit-xml-plugin2.34.1 ya da sonraki bir sürüm
- io.qameta.allure.plugins:trx-plugin2.34.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| io.qameta.allure.plugins:xunit-xml-pluginMaven | v < 2.34.1 | 2.34.1 |
| io.qameta.allure.plugins:junit-xml-pluginMaven | v < 2.34.1 | 2.34.1 |
| io.qameta.allure.plugins:trx-pluginMaven | v < 2.34.1 | 2.34.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.