CVE-2025-58146
KrytyczneCVSS 9.4Streszczenie
W XAPI występuje kilka podatności: (1) aktualizacje bazy danych XAPI oczyszczają dane wejściowe, ale powiadomienia są generowane z nieoczyszczonych danych, co powoduje zatrzymanie wątku zdarzeń bazy danych; (2) kodowanie UTF-8 w XAPI jest zgodne ze standardem Unicode v3.0, podczas gdy używane biblioteki wymagają v3.1, co prowadzi do akceptacji nieprawidłowych ciągów znaków, które mogą uniemożliwić załadowanie bazy danych; (3) brak oczyszczania danych wejściowych dla aktualizacji Map/Set na obiektach w bazie danych XAPI.
Ocena ryzyka
Ryzyko obejmuje przerwanie działania bazy danych XAPI, co może prowadzić do niedostępności usług, a także możliwość wprowadzenia nieprawidłowych danych, które uniemożliwią załadowanie bazy danych, powodując trwałą utratę funkcjonalności.
Rekomendacja
Należy natychmiast zaktualizować XAPI do wersji zawierającej poprawki dla tych podatności, a także wdrożyć dodatkowe mechanizmy walidacji danych wejściowych oraz zapewnić zgodność kodowania UTF-8 z bibliotekami używanymi w systemie.
Oryginalny opis (angielski, źródło NVD)
There are multiple issues. 1. Updates to the XAPI database sanitise input strings, but try generating the notification using the unsanitised input. This causes the database's event thread to terminate and cease further processing. 2. XAPI's UTF-8 encoder implements v3.0 of the Unicode spec, but XAPI uses libraries which conform to the stricter v3.1 of the Unicode spec. This causes some strings to be accepted as valid UTF-8 by XAPI, but rejected by other libraries in use. Notably, such strings can be entered into the database, after which the database can no longer be loaded. 3. There is no input sanitisation for Map/Set updates on objects in the XAPI database.