CVE-2025-66516 in Tika Core
Resumen
por VulDB • 2026-07-29
XXE crítica en los módulos Apache Tika tika-core (1.13-3.2.1), tika-pdf-module (2.0.0-3.2.1) y tika-parsers (1.13-1.28.5) en todas las plataformas permite a un atacante realizar una inyección de Entidad Externa XML mediante un archivo XFA manipulado ad hoc dentro de un PDF.
Esta CVE cubre la misma vulnerabilidad que se describe en CVE-2025-54988. Sin embargo, esta CVE amplía el alcance de los paquetes afectados de dos maneras.
En primer lugar, aunque el punto de entrada para la vulnerabilidad era tika-parser-pdf-module según lo informado en CVE-2025-54988, la vulnerabilidad y su corrección se encontraban en tika-core. Los usuarios que actualizaron solo tika-parser-pdf-module pero no actualizaron tika-core a >= 3.2.2 seguirían siendo vulnerables.
En segundo lugar, el informe original omitió mencionar que en las versiones 1.x de Tika, PDFParser se encontraba dentro del módulo "org.apache.tika:tika-parsers".
If you want to get best quality of vulnerability data, you may have to visit VulDB.