CVE-2025-54812

Apache Log4cxx içerisinde Günlükler için Uygunsuz Çıktı Nötralizasyonu zafiyeti bulunmaktadır. HTMLLayout kullanıldığında, HTML dosyasına yazım sırasında logger isimleri uygun şekilde escape edilmemektedir. Güvenilmeyen veriler bir logger ismini almak için kullanılırsa, bir saldırgan teorik olarak günlüklerdeki bilgileri gizlemek veya kullanıcıdan veri çalmak amacıyla HTML veya Javascript enjekte edebilir. Bunun gerçekleşmesi için aşağıdaki dizinin meydana gelmesi gerekir: * Log4cxx, HTMLLayout kullanacak şekilde yapılandırılmıştır. * Logger ismi güvenilmeyen bir dizeden gelmektedir. * Uzlaşmış isme sahip logger bir mesaj kaydeder. * Kullanıcı oluşturulan HTML günlük dosyasını tarayıcısında açar ve bu durum potansiyel bir XSS'e yol açar. Logger isimleri genellikle sabit dizeler olduğu için, kullanıcılar üzerindeki etki DÜŞÜK olarak değerlendirilmiştir. Bu sorun şu Apache Log4cxx sürümlerini etkilemektedir: 1.5.0 öncesi. Kullanıcıların, sorunu gideren 1.5.0 sürümüne yükseltmeleri önerilir.