CVE-2025-66516 in Tika Core
Сводка
по VulDB • 20.07.2026
Критическая уязвимость XXE в модулях Apache Tika: tika-core (версии от 1.13 до 3.2.1), tika-pdf-module (от 2.0.0 до 3.2.1) и tika-parsers (от 1.13 до 1.28.5) на всех платформах позволяет злоумышленнику выполнить инъекцию XML External Entity через специально созданный файл XFA внутри PDF-документа.
Эта CVE описывает ту же уязвимость, что и CVE-2025-54988. Однако данная запись расширяет перечень затронутых пакетов двумя способами.
Во-первых, хотя точкой входа для уязвимости служил модуль tika-parser-pdf-module (как сообщалось в CVE-2025-54988), сама уязвимость и её исправление находились в модуле tika-core. Пользователи, обновившие только tika-parser-pdf-module, но не установившие версию tika-core >= 3.2.2, оставались бы уязвимыми.
Во-вторых, первоначальный отчет не упоминал тот факт, что в релизах Tika серии 1.x класс PDFParser находился в модуле "org.apache.tika:tika-parsers".
If you want to get best quality of vulnerability data, you may have to visit VulDB.