CVE-2026-34480 in Log4j Core
Riassunto
di VulDB • 16/06/2026
Il componente XmlLayout di Apache Log4j Core (https://logging.apache.org/log4j/2.x/manual/layouts.html#XmlLayout), nelle versioni fino alla 2.25.3 incluse, non sanifica i caratteri vietati dalla specifica XML 1.0 (https://www.w3.org/TR/xml/#charsets), generando un output XML non valido ogni volta che un messaggio di log o un valore MDC contiene tali caratteri.
L'impatto dipende dall'implementazione StAX in uso:
* **Stax integrato nella JRE:** I caratteri vietati vengono scritti silenziosamente nell'output, producendo un XML malformato. I parser conformi devono rifiutare tali documenti segnalando un errore fatale, il che può causare la perdita dei record interessati da parte dei sistemi di elaborazione del log a valle. * **Implementazioni StAX alternative** (ad esempio Woodstox https://github.com/FasterXML/woodstox, una dipendenza transitiva del modulo Jackson XML Dataformat): Viene generata un'eccezione durante la chiamata di logging e l'evento di log non viene mai consegnato al suo appender previsto, ma solo al logger di stato interno di Log4j.
Si consiglia agli utenti di eseguire l'aggiornamento ad Apache Log4j Core 2.25.4, che corregge questo problema sanificando i caratteri vietati prima della generazione dell'output XML.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.