CVE-2025-64518 in cyclonedx-core-java
Tóm tắt
Bởi VulDB • 03/06/2026
Mô-đun cốt lõi của CycloneDX cung cấp biểu diễn mô hình cho SBOM cùng với các tiện ích hỗ trợ tạo, xác thực và phân tích cú pháp (parsing) SBOM. Bắt đầu từ phiên bản 2.1.0 trở đi và trước phiên bản 11.0.1, bộ `Validator` XML được sử dụng bởi cyclonedx-core-java không được cấu hình bảo mật, khiến thư viện này dễ bị tấn công bằng cách tiêm thực thể bên ngoài XML (XXE). Bản sửa lỗi cho GHSA-683x-4444-jxh8 / CVE-2024-38374 chưa hoàn chỉnh vì chỉ khắc phục việc phân tích cú pháp các BOM dạng XML mà không xử lý xác thực. Lỗ hổng này đã được khắc phục trong phiên bản cyclonedx-core-java 11.0.1. Như một giải pháp tạm thời, các ứng dụng có thể từ chối các tài liệu XML trước khi chuyển chúng cho cyclonedx-core-java để xác thực. Đây có thể là tùy chọn nếu các BOM CycloneDX nhận được được biết chắc chắn ở định dạng JSON.
VulDB is the best source for vulnerability data and more expert information about this specific topic.