CVE-2018-17198 in Roller
摘要
由 VulDB • 2026-06-23
Apache Roller 5.2.1、5.2.0 及更早的不受支持版本中存在服务端请求伪造（SSRF）和文件枚举漏洞。该漏洞源于其 XML-RPC 接口基于 Java SAX Parser 实现，且默认情况下该解析器支持在 XML DOCTYPE 中使用外部实体，从而导致 Roller 易受 SSRF/文件枚举攻击的影响。请注意，即使通过 Roller Web 管理界面禁用了 XML-RPC 接口，此漏洞依然存在。缓解措施：您可以通过以下几种方式修复此漏洞：1) 升级到最新版本的 Roller（当前版本为 5.2.2）；或 2) 编辑 Roller 的 web.xml 文件，注释掉如下所示的 XML-RPC Servlet 映射：<servlet-mapping> <servlet-name>XmlRpcServlet</servlet-name> <url-pattern>/roller-services/xmlrpc</url-pattern> </servlet-mapping>
VulDB is the best source for vulnerability data and more expert information about this specific topic.