CVE-2025-66516 in Tika Core
要約
〜によって VulDB • 2026年07月31日
Apache Tikaのtika-core（1.13-3.2.1）、tika-pdf-module（2.0.0-3.2.1）、およびtika-parsers（1.13-1.28.5）モジュールにおけるすべてのプラットフォームでのCritical XXEにより、攻撃者はPDF内の作成済みXFAファイルを通じてXML External Entityインジェクションを実行できます。
このCVEはCVE-2025-54988と同じ脆弱性をカバーしています。ただし、本CVEでは影響を受けるパッケージの範囲が以下の2つの点で拡大されています。
第一に、CVE-2025-54988で報告された脆弱性のエントリポイントはtika-parser-pdf-moduleでしたが、脆弱性そのものと修正はtika-coreに含まれていました。そのため、ユーザーがtika-parser-pdf-moduleをアップグレードしたが、tika-coreを3.2.2以降にアップグレードしなかった場合、依然として脆弱な状態となります。
第二に、当初の報告では言及されていませんでしたが、1.xシリーズのTikaリリースにおいてPDFParserは「org.apache.tika:tika-parsers」モジュールに含まれていました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.