CVE-2025-66516
Apache Tika core, Apache Tika parsers, Apache Tika PDF parser module: प्रभावित आर्टिफैक्ट्स के दायरे का विस्तार करने के लिए CVE-2025-54988 में अपडेट करें
- प्रकाशित
- 4 दिस॰ 2025
- अद्यतन
- 26 फ़र॰ 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.8%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Tika के tika-core (1.13-3.2.1), tika-pdf-module (2.0.0-3.2.1) और tika-parsers (1.13-1.28.5) मॉड्यूल्स में महत्वपूर्ण XXE भेद्यता सभी प्लेटफ़ॉर्मों पर एक हमलावर को PDF के अंदर एक विशेष रूप से तैयार की गई XFA फ़ाइल के माध्यम से XML External Entity इंजेक्शन करने की अनुमति देती है। यह CVE उसी भेद्यता को कवर करता है जैसा CVE-2025-54988 में है। हालाँकि, यह CVE प्रभावित पैकेजों के दायरे को दो तरीकों से विस्तारित करता है। पहला, जबकि भेद्यता का प्रवेश बिंदु tika-parser-pdf-module था, जैसा कि CVE-2025-54988 में रिपोर्ट किया गया था, भेद्यता और इसका समाधान tika-core में थे। जिन उपयोगकर्ताओं ने tika-parser-pdf-module को अपग्रेड किया लेकिन tika-core को >= 3.2.2 पर अपग्रेड नहीं किया, वे अभी भी भेद्य बने रहेंगे। दूसरा, मूल रिपोर्ट यह उल्लेख करने में विफल रही कि Tika के 1.x रिलीज़ में, PDFParser "org.apache.tika:tika-parsers" मॉड्यूल में था।
स्रोत
modules/auxiliary/scanner/http/elasticsearch_tika_xfa_xxe.rb
Metasploit Framework modulesघोषित शर्तें
- verification: check_declared($.auxiliary_scanner/http/elasticsearch_tika_xfa_xxe.check)
http/cves/2025/CVE-2025-66516.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl,regex($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।