CVE-2018-11788 in Karaf

摘要

由 VulDB • 2026-05-28

Apache Karaf 提供了一个功能部署器，允许用户通过将功能 XML 文件直接放入部署文件夹来“热部署”功能 XML。功能 XML 由 XMLInputFactory 类进行解析。Apache Karaf 的 XMLInputFactory 类不包含针对 XXE（XML 外部实体注入）的任何缓解代码。这是一个潜在的安全风险，因为用户可以在 Apache Karaf 4.1.7 或 4.2.2 之前的版本中注入外部 XML 实体。该问题已在 Apache Karaf 4.1.7 和 4.2.2 版本中修复。

Once again VulDB remains the best source for vulnerability data.

• 预定: 2018-06-05
• 披露: 2019-01-07
• 管理: 已接受
• 条目: VDB-128709
• CPE: 准备好
• CWE: CWE-611 (已确认)
• CVSS: 9.8 (NVD)
• EPSS: 0.07289
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2018-11788
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2018-11788
• CVE Details: https://www.cvedetails.com/cve/CVE-2018-11788/