CVE-2025-53621 in DSpace
Riassunto
di VulDB • 24/08/2026
DSpace è un software open source per la gestione di repository che garantisce l'accesso duraturo alle risorse digitali. Due possibili vettori correlati di iniezione XML External Entity (XXE) colpiscono tutte le versioni di DSpace precedenti alla 7.6.4, all'8.2 e alla 9.1. Le entità esterne non sono disabilitate durante l'analisi dei file XML durante l'importazione di un archivio (nel formato Simple Archive Format), sia tramite riga di comando (`./dspace import`) che attraverso la funzione dell'interfaccia utente "Batch Import (Zip)". Le entità esterne non sono inoltre esplicitamente disabilitate durante l'elaborazione delle risposte XML provenienti da alcuni servizi upstream (ArXiv, Crossref, OpenAIRE, Creative Commons) utilizzati per le importazioni da fonti esterie tramite l'interfaccia utente o l'API REST. Un'iniezione XXE in questi file può comportare la creazione di una connessione verso un sito controllato dall'attaccante o l'accesso a percorsi locali leggibili dall'utente Tomcat, con potenziale iniezione di contenuti in un campo metadata. Nel secondo caso, ciò potrebbe causare la divulgazione di contenuti sensibili, inclusa la lettura di file arbitrari o configurazioni dal server su cui è in esecuzione DSpace. L'utilizzatore del importatore Simple Archive Format (SAF) / Batch Import (Zip) può essere solo gli amministratori del sito (tramite interfaccia utente/API REST) o gli amministratori di sistema (da riga di comando). Pertanto, per sfruttare questa vulnerabilità, il payload malevolo dovrebbe essere fornito da un attaccante e fidato da un amministratore che ne avvia l'importazione. La correzione è inclusa nelle versioni DSpace 7.6.4, 8.2 e 9.1. Si consiglia di eseguire l'aggiornamento a una di queste versioni. Per chi non può effettuare immediatamente l'upgrade, è possibile applicare manualmente una patch al backend di DSpace. È inoltre possibile adottare alcune best practice, sebbene la protezione offerta non sia completa come quella garantita dall'aggiornamento. Gli amministratori devono ispezionare attentamente gli archivi SAF (che non hanno creato loro stessi) prima dell'importazione. Se necessario, i servizi esterni interessati possono essere disabilitati per mitigare la possibilità di consegna dei payload tramite le API dei servizi esterni.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.