CVE-2026-34480 in Log4j Core
الملخص
بحسب VulDB • 01/06/2026
يُظهر مكون Apache Log4j Core في تخطيط XmlLayout https://logging.apache.org/log4j/2.x/manual/layouts.html#XmlLayout ، في الإصدارات حتى 2.25.3 وشاملة لها، فشلاً في تنقية الأحرف المحظورة وفقاً لمواصفة XML 1.0 https://www.w3.org/TR/xml/#charsets ، مما ينتج عنه إخراج XML غير صالح كلما احتوى رسالة السجل أو قيمة MDC على مثل هذه الأحرف.
يعتمد التأثير على تنفيذ StAX المستخدم:
* **تنفيذ StAX المدمج في JRE:** تُكتب الأحرف المحظورة بصمت إلى الإخراج، مما ينتج XML مشوهاً. يجب على المفسرات المتوافقة رفض مثل هذه المستندات بخطأ قاتل، مما قد يتسبب في إسقاط أنظمة معالجة السجلات اللاحقة للسجلات المتأثرة. * **تنفيذات StAX البديلة (على سبيل المثال، Woodstox https://github.com/FasterXML/woodstox ، وهو تبعية غير مباشرة لوحدات نمط بيانات Jackson XML):** يتم رمي استثناء أثناء استدعاء التسجيل، ولا يتم تسليم حدث السجل أبداً إلى الملحق المقصود، بل فقط إلى مسجل الحالة الداخلي الخاص بـ Log4j.
يُنصح المستخدمين بالترقية إلى Apache Log4j Core الإصدار 2.25.4، الذي يصحح هذه المشكلة من خلال تنقية الأحرف المحظورة قبل إخراج XML.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.