CVE-2025-66516
Açıklama
Apache Tika tika-core (1.13-3.2.1), tika-pdf-module (2.0.0-3.2.1) ve tika-parsers (1.13-1.28.5) modüllerinde tüm platformlarda kritik XXE açığı; saldırganın bir PDF içindeki hazırlanmış bir XFA dosyası aracılığıyla XML Dış Varlık enjeksiyonu gerçekleştirmesine olanak tanır. Bu CVE, CVE-2025-54988 ile aynı güvenlik açığını kapsar. Ancak bu CVE, etkilenen paketlerin kapsamını iki şekilde genişletir. İlk olarak, CVE-2025-54988'de bildirildiği üzere güvenlik açığının giriş noktası tika-parser-pdf-module olsa da, güvenlik açığı ve düzeltmesi tika-core içindeydi. tika-parser-pdf-module paketini güncelleyip tika-core paketini >= 3.2.2 sürümüne güncellemeyen kullanıcılar hâlâ savunmasız durumda kalırdı. İkinci olarak, orijinal rapor 1.x Tika sürümlerinde PDFParser'ın "org.apache.tika:tika-parsers" modülünde bulunduğunu belirtmeyi atlamıştı.
Nasıl düzeltilir
- apache tika3.2.2 ya da sonraki bir sürüm
- org.apache.tika:tika-core3.2.2 ya da sonraki bir sürüm
- org.apache.tika:tika-parsers2.0.0 ya da sonraki bir sürüm
- org.apache.tika:tika-parser-pdf-module3.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache tika | 1.13 ≤ v < 3.2.2 | 3.2.2 |
| org.apache.tika:tika-coreMaven | 1.13 ≤ v < 3.2.2 | 3.2.2 |
| org.apache.tika:tika-parsersMaven | 1.13 ≤ v < 2.0.0 | 2.0.0 |
| org.apache.tika:tika-parser-pdf-moduleMaven | 2.0.0 ≤ v < 3.2.2 | 3.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.