CVE-2025-54988
Açıklama
Apache Tika'nın tüm platformlardaki 1.13 ile 3.2.1 dahil arasındaki sürümlerinde bulunan tika-parser-pdf-module bileşenindeki kritik bir XXE zafiyeti, saldırganın bir PDF içerisindeki özel olarak hazırlanmış bir XFA dosyası aracılığıyla XML External Entity enjeksiyonu gerçekleştirmesine olanak tanır. Bir saldırgan hassas verileri okuyabilir veya dahili kaynaklara ya da üçüncü taraf sunuculara kötü niyetli istekler tetikleyebilir. tika-parser-pdf-module'ün; tika-parsers-standard-modules, tika-parsers-standard-package, tika-app, tika-grpc ve tika-server-standard dahil olmak üzere birçok Tika paketinde bağımlılık olarak kullanıldığına dikkat edilmelidir. Kullanıcıların bu sorunu gideren 3.2.2 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache tika3.2.2 ya da sonraki bir sürüm
- org.apache.tika:tika-parser-pdf-module3.2.2 ya da sonraki bir sürüm
- org.apache.tika:tika-parsers2.0.0-ALPHA ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache tika | 1.13 ≤ v < 3.2.2 | 3.2.2 |
| org.apache.tika:tika-parser-pdf-moduleMaven | 1.13 ≤ v < 3.2.2 | 3.2.2 |
| org.apache.tika:tika-parsersMaven | 1.13 ≤ v < 2.0.0-ALPHA | 2.0.0-ALPHA |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.