CVE-2026-40682

Apache OpenNLP DictionaryEntryPersistor'da Temizlenmemiş Sözlük Ayrıştırması Yoluyla XML Harici Varlık (XXE) Etkilenen Versiyonlar: 2.5.9 öncesi, 3.0.0-M3 öncesi Açıklama: DictionaryEntryPersistor sınıfı, FEATURE_SECURE_PROCESSING özelliğini etkinleştirmeden veya DTD işlemeyi devre dışı bırakmadan, sınıf yükleme sırasında statik bir SAXParserFactory başlatır. create(InputStream, EntryInserter) çağrıldığında, XMLReader üzerinde ayarlanan tek özellik ad alanı desteğidir; harici varlık çözünürlüğü ve DOCTYPE bildirimleri tamamen etkin kalmaya devam eder. Kötü niyetli bir DOCTYPE bildirimi içeren hazırlanmış bir sözlük dosyası (örneğin, bir durdurma kelimesi listesi veya alan sözlüğü) sağlayabilen bir saldırgan, uygulama tek bir sözlük girdisini işlemeden önce, SAX ayrıştırması sırasında file:// varlık referansları aracılığıyla yerel dosya ifşasını veya http:// varlık referansları aracılığıyla sunucu taraflı istek sahteciliğini tetikleyebilir. Bu durum, FEATURE_SECURE_PROCESSING ve disallow-doctype-decl ayarlarını doğru şekilde yapan ve kod tabanındaki diğer tüm XML ayrıştırma yolları tarafından kullanılan projenin kendi XmlUtil.createSaxParser() yardımcısı ile tutarsızdır. Genel Dictionary(InputStream) kurucusu doğrudan bu yönteme yetkilendirme yapar ve kullanıcı tarafından sağlanan sözlüklerin yüklenmesi için belgelenmiş API'dir, bu da güvenilmeyen girdiyi gerçekçi bir senaryo haline getirir. Azaltma: 2.x kullanıcıları 2.5.9 sürümüne yükseltmelidir. 3.x kullanıcıları 3.0.0-M3 sürümüne yükseltmelidir. Hemen yükseltme yapamayan kullanıcılar, tüm sözlük dosyalarının güvenilir kaynaklardan geldiğinden emin olmalı ve Dictionary(InputStream) kurucusunu, ayrıştırıcıya ulaşmadan önce DOCTYPE bildirimi içeren herhangi bir XML'i reddeden girdi doğrulamasıyla sarmalamayı değerlendirmelidir.