CVE-2025-66516
Apache Tika core, Apache Tika parsers, Apache Tika PDF parser module: Update auf CVE-2025-54988, um den Umfang der betroffenen Artefakte zu erweitern
- Veröffentlicht
- 04.12.2025
- Aktualisiert
- 26.02.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 99,8 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Kritische XXE-Schwachstelle in Apache Tika tika-core (1.13-3.2.1), tika-pdf-module (2.0.0-3.2.1) und tika-parsers (1.13-1.28.5) auf allen Plattformen ermöglicht einem Angreifer die Einschleusung von XML External Entities über eine manipulierte XFA-Datei in einer PDF. Diese CVE deckt dieselbe Schwachstelle ab wie CVE-2025-54988. Diese CVE erweitert jedoch den Umfang der betroffenen Pakete in zweierlei Hinsicht. Erstens: Während der Einstiegspunkt für die Schwachstelle das tika-parser-pdf-module war, wie in CVE-2025-54988 berichtet, befanden sich die Schwachstelle und ihr Fix in tika-core. Benutzer, die das tika-parser-pdf-module aktualisiert haben, aber tika-core nicht auf >= 3.2.2 aktualisiert haben, wären weiterhin verwundbar. Zweitens: Der ursprüngliche Bericht erwähnte nicht, dass der PDFParser in den 1.x-Tika-Versionen im Modul "org.apache.tika:tika-parsers" enthalten war.
Quellen
modules/auxiliary/scanner/http/elasticsearch_tika_xfa_xxe.rb
Metasploit Framework modulesAngegebene Bedingungen
- verification: check_declared($.auxiliary_scanner/http/elasticsearch_tika_xfa_xxe.check)
http/cves/2025/CVE-2025-66516.yaml
Nuclei TemplatesAngegebene Bedingungen
- network: http($.protocol_keys)
- verification: dsl,regex($.matchers[*].type)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.