CVE-2025-64518

Yüksek

Açıklama

CycloneDX çekirdek modülü, SBOM'ların oluşturulmasına, doğrulanmasına ve ayrıştırılmasına yardımcı olan araçlarla birlikte SBOM'un bir model temsilini sağlar. Versiyon 2.1.0 ile başlayıp versiyon 11.0.1 öncesine kadar olan sürümlerde, cyclonedx-core-java tarafından kullanılan XML `Validator` güvenli şekilde yapılandırılmamıştı; bu durum kütüphaneyi XML External Entity (XXE) enjeksiyonuna karşı savunmasız hale getiriyordu. GHSA-683x-4444-jxh8 / CVE-2024-38374 için yayınlanan düzeltme, yalnızca XML BOM'larının ayrıştırılmasını düzelttiği ancak doğrulamayı düzeltmediği için eksikti. Güvenlik açığı, cyclonedx-core-java versiyon 11.0.1 ile giderilmiştir. Geçici bir çözüm olarak uygulamalar, XML belgelerini doğrulanmak üzere cyclonedx-core-java'ya teslim etmeden önce reddedebilir. Gelen CycloneDX BOM'larının JSON formatında olduğu biliniyorsa bu bir seçenek olabilir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünOrg.cyclonedx:cyclonedx-core-java

Yayın10 Kas 2025

İlk görülme10 Kas 2025

Zayıflık türüCWE-611XML dış varlık (XXE)

Nasıl düzeltilir

Güncelleyin

org.cyclonedx:cyclonedx-core-java11.0.1 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
org.cyclonedx:cyclonedx-core-javaMaven	2.1.0 ≤ v < 11.0.1	11.0.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.