CVE-2025-66516
严重已发布
Apache Tika 核心、Apache Tika 解析器、Apache Tika PDF 解析器模块：更新至 CVE-2025-54988，以扩大受影响制品范围
- 已发布
- 2025年12月4日
- 已更新
- 2026年2月26日
- 分配 CNA
- apache
- 观察到的证据
- 2026年8月8日
初级CVSS
9.8/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H87.7%
高 · 未来 30 天
- 百分位
- 99.8%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Apache Tika 的 tika-core（1.13-3.2.1）、tika-pdf-module（2.0.0-3.2.1）和 tika-parsers（1.13-1.28.5）模块在所有平台上存在严重 XXE 漏洞，允许攻击者通过 PDF 内特制的 XFA 文件执行 XML 外部实体注入。该 CVE 涵盖与 CVE-2025-54988 相同的漏洞。但该 CVE 以两种方式扩大了受影响软件包的范围。首先，虽然该漏洞的入口点是 CVE-2025-54988 中报告的 tika-parser-pdf-module，但该漏洞及其修复位于 tika-core 中。升级了 tika-parser-pdf-module 但未将 tika-core 升级到 >= 3.2.2 的用户仍会受影响。其次，原始报告未提及在 1.x 版 Tika 发行版中，PDFParser 位于 "org.apache.tika:tika-parsers" 模块中。
来源
4CVE-2025-66516 可用的漏洞利用、扫描器、说明。
针对 CVE-2025-66516 Apache Tika 漏洞的 POC，仅供教育用途。
CVE-2025-66516
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。