CVE-2020-10683
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
dom4j przed wersją 2.0.3 oraz wersje 2.1.x przed 2.1.3 domyślnie zezwalają na zewnętrzne DTD i encje zewnętrzne, co może umożliwić ataki XXE. Istnieje jednak popularna dokumentacja OWASP pokazująca, jak włączyć bezpieczne, niedomyślne zachowanie w każdej aplikacji używającej dom4j.
Ocena ryzyka
Ataki XXE mogą prowadzić do ujawnienia poufnych plików, skanowania wewnętrznych portów lub wykonania żądań SSRF, co stanowi poważne zagrożenie dla poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację dom4j do wersji 2.0.3 lub 2.1.3 oraz skonfigurowanie bezpiecznego przetwarzania XML zgodnie z wytycznymi OWASP, aby wyłączyć zewnętrzne encje i DTD.
Oryginalny opis (angielski, źródło NVD)
dom4j before 2.0.3 and 2.1.x before 2.1.3 allows external DTDs and External Entities by default, which might enable XXE attacks. However, there is popular external documentation from OWASP showing how to enable the safe, non-default behavior in any application that uses dom4j.