CVE-2025-64518 in cyclonedx-core-java
要約
〜によって VulDB • 2026年05月28日
CycloneDXのコアモジュールは、SBOMのモデル表現と、SBOMの作成、検証、および解析を支援するユーティリティを提供します。バージョン2.1.0以降かつバージョン11.0.1より前のバージョンにおいて、cyclonedx-core-javaで使用されるXML `Validator`が安全に構成されておらず、これによりライブラリはXML外部エンティティ（XXE）インジェクションに対して脆弱でした。GHSA-683x-4444-jxh8 / CVE-2024-38374に対する修正は不完全であり、XML BOMの解析のみが修正され、検証は修正されていません。この脆弱性はcyclonedx-core-javaバージョン11.0.1で修正されています。回避策として、アプリケーションはcyclonedx-core-javaに検証を委ねる前にXML文書を拒否することができます。これは、受信するCycloneDX BOMがJSON形式であることが分かっている場合に有効なオプションとなり得ます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.