CVE-2025-64518 in cyclonedx-core-java
Résumé
par VulDB • 03/06/2026
Le module core de CycloneDX fournit une représentation sous forme de modèle du SBOM, ainsi que des utilitaires pour aider à la création, à la validation et à l'analyse (parsing) des SBOM. À partir de la version 2.1.0 et avant la version 11.0.1, le `Validator` XML utilisé par cyclonedx-core-java n'était pas configuré de manière sécurisée, rendant la bibliothèque vulnérable aux injections d'entités externes XML (XXE). La correction pour GHSA-683x-4444-jxh8 / CVE-2024-38374 était incomplète dans le sens où elle ne corrigeait que l'analyse des BOM au format XML, mais pas la validation. La vulnérabilité a été corrigée dans cyclonedx-core-java version 11.0.1. En attendant une solution permanente, les applications peuvent rejeter les documents XML avant de les soumettre à cyclonedx-core-java pour validation. Cela peut être une option si les BOM CycloneDX entrants sont connus pour être au format JSON.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.