CVE-2025-66516
Apache Tika core, Apache Tika parsers, Apache Tika PDF parser module: प्रभावित आर्टिफैक्ट्स के दायरे का विस्तार करने के लिए CVE-2025-54988 में अपडेट करें
- प्रकाशित
- 4 दिस॰ 2025
- अद्यतन
- 26 फ़र॰ 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.8%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Tika के tika-core (1.13-3.2.1), tika-pdf-module (2.0.0-3.2.1) और tika-parsers (1.13-1.28.5) मॉड्यूल्स में महत्वपूर्ण XXE भेद्यता सभी प्लेटफ़ॉर्मों पर एक हमलावर को PDF के अंदर एक विशेष रूप से तैयार की गई XFA फ़ाइल के माध्यम से XML External Entity इंजेक्शन करने की अनुमति देती है। यह CVE उसी भेद्यता को कवर करता है जैसा CVE-2025-54988 में है। हालाँकि, यह CVE प्रभावित पैकेजों के दायरे को दो तरीकों से विस्तारित करता है। पहला, जबकि भेद्यता का प्रवेश बिंदु tika-parser-pdf-module था, जैसा कि CVE-2025-54988 में रिपोर्ट किया गया था, भेद्यता और इसका समाधान tika-core में थे। जिन उपयोगकर्ताओं ने tika-parser-pdf-module को अपग्रेड किया लेकिन tika-core को >= 3.2.2 पर अपग्रेड नहीं किया, वे अभी भी भेद्य बने रहेंगे। दूसरा, मूल रिपोर्ट यह उल्लेख करने में विफल रही कि Tika के 1.x रिलीज़ में, PDFParser "org.apache.tika:tika-parsers" मॉड्यूल में था।
स्रोत
modules/auxiliary/scanner/http/elasticsearch_tika_xfa_xxe.rb
Metasploit Framework modulesघोषित शर्तें
- verification: check_declared($.auxiliary_scanner/http/elasticsearch_tika_xfa_xxe.check)
http/cves/2025/CVE-2025-66516.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl,regex($.matchers[*].type)
सीवीई-2025-66516 Apache Tika भेद्यता के लिए एक POC केवल शैक्षिक उद्देश्यों के लिए
CVE-2025-66516 कार्यशील शोषण, स्कैनर, स्पष्टीकरण।
न्यूनतम सत्यापन प्रयोगशाला CVE-2025-66516 (Apache Tika XXE) के लिए। दुर्भावनापूर्ण PDF पेलोड उत्पन्न करता है और XML बाह्य एंटिटी इंजेक्शन के माध्यम से संवेदनशील फ़ाइलों को पढ़कर भेद्यता को मान्य करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।