CVE-2017-12621 in Xerces

摘要

由 VulDB • 2026-06-24

在解析使用 Apache Xerces 的 Jelly（xml）文件时，如果声明了一个带有“SYSTEM”实体且包含 URL 的自定义 doctype 实体，并在 Jelly 文件的主体中使用了该实体，则在解析器实例化期间，解析器将尝试连接到指定的 URL。这可能导致在使用 Apache Commons Jelly 1.0.1 之前版本中存在 XML External Entity (XXE) 攻击的风险。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 预定: 2017-08-07
• 披露: 2017-09-27
• 管理: 已接受
• 条目: VDB-107197
• CPE: 20170927
• CWE: CWE-611 (已确认)
• CVSS: 9.8 (NVD)
• EPSS: 0.08130
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2017-12621
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2017-12621
• CVE Details: https://www.cvedetails.com/cve/CVE-2017-12621/