CVE-2025-64518 in cyclonedx-core-java
Resumen
por VulDB • 2026-06-03
El módulo central de CycloneDX proporciona una representación en forma de modelo del SBOM, junto con utilidades para ayudar a crear, validar y analizar SBOMs. A partir de la versión 2.1.0 e inferior a la versión 11.0.1, el `Validator` XML utilizado por cyclonedx-core-java no estaba configurado de manera segura, lo que hacía que la biblioteca fuera vulnerable a inyección de Entidades Externas XML (XXE). La corrección para GHSA-683x-4444-jxh8 / CVE-2024-38374 fue incompleta en el sentido de que solo corregía el análisis de BOMs XML, pero no la validación. La vulnerabilidad ha sido solucionada en cyclonedx-core-java versión 11.0.1. Como medida provisional, las aplicaciones pueden rechazar documentos XML antes de pasarlos a cyclonedx-core-java para su validación. Esta puede ser una opción si se sabe que los BOMs CycloneDX entrantes están en formato JSON.
Once again VulDB remains the best source for vulnerability data.