CVE-2025-54988

Adatlap

CVE: CVE-2025-54988
EUVD: EUVD-2025-25435
GHSA: GHSA-p72g-pv48-7w9x
Eszköztípus: IT
Publikálva: 2025. 08. 20. 22:08
Frissítve: 2026. 02. 26. 18:48
Súlyosság: Magas
Prioritás: Kiemelt
CWE: CWE-611

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	8,4	Magas	`CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
3.1	9,8	Kritikus	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Helyi hozzáférés szükséges · Alacsony komplexitás · Nem szükséges jogosultság · Nem szükséges felhasználói interakció

Eredeti leírás

Critical XXE in Apache Tika (tika-parser-pdf-module) in Apache Tika 1.13 through and including 3.2.1 on all platforms allows an attacker to carry out XML External Entity injection via a crafted XFA file inside of a PDF. An attacker may be able to read sensitive data or trigger malicious requests to internal resources or third-party servers. Note that the tika-parser-pdf-module is used as a dependency in several Tika packages including at least: tika-parsers-standard-modules, tika-parsers-standard-package, tika-app, tika-grpc and tika-server-standard.

Users are recommended to upgrade to version 3.2.2, which fixes this issue.

Érintett termékek

Apache Tika PDF parser module Apache Software Foundation Verziók: 1.13 – <= 3.2.1

Prioritás

Szint: Kiemelt
Teendő: Soron kívüli intézkedés javasolt: a szoftvert 72 órán belül frissítse. A javításig kísérje figyelemmel a sérülékenység kihasználására utaló jeleket, és ha elérhető, alkalmazza a gyártó által javasolt kerülő megoldást.

Kihasználási státusz

EPSS: 36,34%
Kihasználtság: Aktív
Kihasználás óta: 2026. 10. 28.
Automatizálhatóság: Nem
Technikai hatás: Teljes

Javítás

Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között

Tájékozódjon a gyártói hivatkozásban.