CVE-2017-12620

Krytyczne

Opublikowano: 03/10/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2017-12620 dotyczy ataku XXE, który może wystąpić podczas ładowania modeli lub słowników zawierających XML w bibliotece Apache OpenNLP. Problem ten dotyczy aplikacji, które ładują modele lub słowniki z niezaufanych źródeł.

Ocena ryzyka

Organizacje mogą być narażone na ataki, które mogą prowadzić do ujawnienia danych lub wykonania nieautoryzowanych operacji, jeśli korzystają z niezaufanych źródeł danych.

Rekomendacja

Zaleca się unikanie ładowania modeli lub słowników z niezaufanych źródeł oraz aktualizację do najnowszej wersji Apache OpenNLP, aby zminimalizować ryzyko.

Oryginalny opis (angielski, źródło NVD)

When loading models or dictionaries that contain XML it is possible to perform an XXE attack, since Apache OpenNLP is a library, this only affects applications that load models or dictionaries from untrusted sources. The versions 1.5.0 to 1.5.3, 1.6.0, 1.7.0 to 1.7.2, 1.8.0 to 1.8.1 of Apache OpenNLP are affected.