CVE-2021-23463: Внедрение внешних XML-сущностей (XXE) | Kitploit

CVE-2021-23463

КритическийОпубликовано

Внедрение внешних XML-сущностей (XXE)

Опубликовано: 10 дек. 2021 г.
Обновлено: 17 сент. 2024 г.
Назначение CNA: snyk
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

9,1/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Оценка вероятности EPSS

2,7 %

Низкий · следующие 30 дней

Процентиль: 85,2 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Пакет com.h2database:h2 с версии 1.4.198 и до 2.0.202 уязвим к внедрению внешних сущностей XML (XXE) через объект класса org.h2.jdbc.JdbcSQLXML, когда он получает разобранные строковые данные из метода org.h2.jdbc.JdbcResultSet.getSQLXML(). Если при выполнении метода getSource() параметр равен DOMSource.class, это вызовет уязвимость.

Источники

jdbc-sqlxml-xxePoC
Воспроизведение уязвимости SQLXML XXE в h2-jdbc(https://github.com/h2database/h2database/issues/3195) и mysql-jdbc(CVE-2021-2471).

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.