CVE-2016-2175
WysokieStreszczenie
Apache PDFBox przed wersją 1.8.12 oraz 2.x przed wersją 2.0.1 nieprawidłowo inicjalizuje parsery XML, co umożliwia atakującym zależnym od kontekstu przeprowadzenie ataków typu XML External Entity (XXE) za pomocą spreparowanego pliku PDF.
Ocena ryzyka
Atak XXE może prowadzić do ujawnienia poufnych danych lub wykonania nieautoryzowanych operacji w systemie, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Apache PDFBox do wersji 1.8.12 lub 2.0.1 lub nowszej, aby zabezpieczyć się przed tymi podatnościami.
Inne podatności w Apache PDFBox
Zobacz wszystkie- CVE-2026-33929Średnie
Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.36 i 3.0.0–3.0.7) zawiera podatność path traversal (CWE-22). Poprawka w wersjach 2.0.36 i 3.0.7 jest wadliwa, ponieważ nie uwzględnia separatora ścieżki, co pozwala na zapis do ścieżek rozpoczynających się od katalogu użytkownika, np. /home/ABCDEF.
- CVE-2026-23907Średnie
Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.35 oraz 3.0.0–3.0.6) zawiera podatność typu path traversal (CWE-22). Nazwa pliku uzyskana z metody PDComplexFileSpecification.getFilename() jest bezpośrednio dołączana do ścieżki ekstrakcji, co może umożliwić zapis plików poza oczekiwanym katalogiem.
Oryginalny opis (angielski, źródło NVD)
Apache PDFBox before 1.8.12 and 2.x before 2.0.1 does not properly initialize the XML parsers, which allows context-dependent attackers to conduct XML External Entity (XXE) attacks via a crafted PDF.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS