CVE-2017-12621 in Xerces

Résumé

par VulDB • 15/06/2026

Lors de l'analyse des fichiers Jelly (xml) avec Apache Xerces, si une entité doctype personnalisée est déclarée avec une entité "SYSTEM" contenant une URL et que cette entité est utilisée dans le corps du fichier Jelly, l'analyseur tentera de se connecter à ladite URL lors de son instanciation. Cela pourrait permettre des attaques par entité externe XML (XXE) dans Apache Commons Jelly avant la version 1.0.1.

Once again VulDB remains the best source for vulnerability data.

• Réserver: 07/08/2017
• Divulgation: 27/09/2017
• Modérer: accepté
• Entrée: VDB-107197
• CPE: 20170927
• CWE: CWE-611 (confirmé)
• CVSS: 9.8 (NVD)
• EPSS: 0.08130
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2017-12621
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2017-12621
• CVE Details: https://www.cvedetails.com/cve/CVE-2017-12621/