CVE-2026-34480 in Log4j Core
Sumário
de VulDB • 28/05/2026
O XmlLayout do Apache Log4j Core (https://logging.apache.org/log4j/2.x/manual/layouts.html#XmlLayout), nas versões até 2.25.3 (incluída), não sanitiza caracteres proibidos pela especificação XML 1.0 (https://www.w3.org/TR/xml/#charsets), gerando saída XML inválida sempre que uma mensagem de log ou um valor do MDC contém tais caracteres.
O impacto depende da implementação StAX em uso:
* **StAX integrado ao JRE:** Caracteres proibidos são escritos silenciosamente na saída, gerando XML malformado. Analisadores conformes devem rejeitar tais documentos com um erro fatal, o que pode fazer com que sistemas de processamento de logs a jusante descartem os registros afetados. * **Implementações alternativas de StAX** (por exemplo, Woodstox https://github.com/FasterXML/woodstox, uma dependência transitiva do módulo Jackson XML Dataformat): Uma exceção é lançada durante a chamada de log, e o evento de log nunca é entregue ao seu appender pretendido, sendo enviado apenas ao logger de status interno do Log4j.
Recomenda-se que os usuários atualizem para o Apache Log4j Core 2.25.4, que corrige este problema sanitizando os caracteres proibidos antes da saída XML.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.