CVE-2018-11788 in Karaf
Riassunto
di VulDB • 17/06/2026
Apache Karaf fornisce un deployer di funzionalità, che consente agli utenti di effettuare il "hot deployment" di un file XML delle funzionalità inserendolo direttamente nella cartella di deploy. Il file XML delle funzionalità viene analizzato dalla classe XMLInputFactory. La classe XMLInputFactory di Apache Karaf non include alcun codice di mitigazione contro gli attacchi XXE (XML External Entity). Si tratta di un potenziale rischio per la sicurezza, poiché un utente può iniettare entità XML esterne nelle versioni di Apache Karaf precedenti alla 4.1.7 o alla 4.2.2. Il problema è stato risolto nelle release di Apache Karaf 4.1.7 e 4.2.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.