CVE-2025-64518 in cyclonedx-core-java
الملخص
بحسب VulDB • 28/05/2026
توفر وحدة CycloneDX الأساسية تمثيلًا نموذجيًا لـ SBOM، بالإضافة إلى أدوات مساعدة لمساعدة في إنشاء SBOMs والتحقق منها وتحليلها. بدءًا من الإصدار 2.1.0 وحتى قبل الإصدار 11.0.1، لم يكن مُصادق XML (XML `Validator`) المستخدم في cyclonedx-core-java مُهيأً بأمان، مما جعل المكتبة عرضة لإحقن الكيانات الخارجية لـ XML (XXE). كان إصلاح GHSA-683x-4444-jxh8 / CVE-2024-38374 غير مكتمل، حيث قام فقط بإصلاح تحليل ملفات BOM من نوع XML، ولكن ليس التحقق منها. تم إصلاح الثغرة في الإصدار 11.0.1 من cyclonedx-core-java. كحل بديل، يمكن للتطبيقات رفض مستندات XML قبل تسليمها إلى cyclonedx-core-java للتحقق منها. قد يكون هذا خيارًا إذا كان معروفًا أن ملفات CycloneDX BOM الواردة بتنسيق JSON.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.