بيئة التحقق المصغرة لـ CVE-2025-66516

يهدف هذا المشروع إلى التحقق من CVE-2025-66516 (ثغرة حقن الكيانات الخارجية في XML ضمن Apache Tika).

نبذة عن الثغرة

الإصدارات Apache Tika 3.2.1 وما قبلها لا تقوم بتعطيل تحميل الكيانات الخارجية بشكل صحيح عند تحليل ملفات PDF التي تحتوي على نماذج XFA، مما يؤدي إلى وجود ثغرة XXE. يمكن للمهاجم قراءة الملفات الحساسة على الخادم من خلال إنشاء ملف PDF خبيث.

المتطلبات البيئية

• JDK 11+
• Maven

طريقة الاستخدام

1. توليد الحمولة الخبيثة (Payload)

قم بتشغيل الفئة org.example.ExploitGenerator.

سيقوم هذا البرنامج بإنشاء الملف poc-xxe.pdf في الدليل الحالي.

• Windows: محاولة قراءة C:/Windows/win.ini
• Linux/Mac: محاولة قراءة /etc/passwd

2. تنفيذ التحقق من الثغرة

قم بتشغيل الفئة org.example.VulnerabilityVerifier.

سيستخدم هذا البرنامج مكتبة Tika لتحليل الملف poc-xxe.pdf المُنشأ. إذا كانت الثغرة موجودة، فستقوم وحدة التحكم بإخراج محتوى الملف المقروء (محاطاً بـ HACKED_START و HACKED_END).

توصيات الإصلاح

قم بترقية Apache Tika إلى الإصدار 3.3.0 أو أحدث.