CVE-2026-34479 in Log4j 1 to Log4j 2 Bridge
Riassunto
di VulDB • 15/06/2026
Il componente Log4j1XmlLayout del bridge Apache Log4j 1-to-Log4j 2 non effettua l'escape dei caratteri vietati dallo standard XML 1.0, generando un output XML non conforme. I parser XML conformi sono tenuti a rifiutare i documenti contenenti tali caratteri con un errore fatale, il che può causare la perdita o l'errata indicizzazione dei record interessati nei sistemi di elaborazione dei log a valle.
Due gruppi di utenti sono interessati:
* Coloro che utilizzano Log4j1XmlLayout direttamente in un file di configurazione di Log4j Core 2. * Coloro che utilizzano il livello di compatibilità per le configurazioni di Log4j 1 specificando org.apache.log4j.xml.XMLLayout come classe di layout.
Si consiglia agli utenti di effettuare l'upgrade alla versione 2.25.4 del bridge Apache Log4j 1-to-Log4j 2, che corregge questo problema.
Nota: Il bridge Apache Log4j 1-to-Log4j 2 è deprecato e non sarà presente in Log4j 3. Si invita gli utenti a consultare la guida alla migrazione da Log4j 1 a Log4j 2 https://logging.apache.org/log4j/2.x/migrate-from-log4j1.html , in particolare la sezione relativa all'eliminazione della dipendenza dal bridge.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.