CVE-2016-2175

Wysokie

Opublikowano: 01/06/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Apache PDFBox przed wersją 1.8.12 oraz 2.x przed wersją 2.0.1 nieprawidłowo inicjalizuje parsery XML, co umożliwia atakującym zależnym od kontekstu przeprowadzenie ataków typu XML External Entity (XXE) za pomocą spreparowanego pliku PDF.

Ocena ryzyka

Atak XXE może prowadzić do ujawnienia poufnych danych lub wykonania nieautoryzowanych operacji w systemie, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację Apache PDFBox do wersji 1.8.12 lub 2.0.1 lub nowszej, aby zabezpieczyć się przed tymi podatnościami.

Inne podatności w Apache PDFBox

CVE-2026-23907Średnie
Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.35 oraz 3.0.0–3.0.6) zawiera podatność typu path traversal (CWE-22). Nazwa pliku uzyskana z metody PDComplexFileSpecification.getFilename() jest bezpośrednio dołączana do ścieżki ekstrakcji, co może umożliwić zapis plików poza oczekiwanym katalogiem.

Oryginalny opis (angielski, źródło NVD)

Apache PDFBox before 1.8.12 and 2.x before 2.0.1 does not properly initialize the XML parsers, which allows context-dependent attackers to conduct XML External Entity (XXE) attacks via a crafted PDF.