veraPDF CLI has potential XXE (XML External Entity Injection) vulnerability — CVE-2024-52800

Zusammenfassung

### Impact Executing policy checks using custom schematron files via the CLI invokes an XSL transformation that may theoretically lead to a remote code execution (RCE) vulnerability. ### Patches We are currently working on a patch that will be released when ready. ### Workarounds This doesn't affect the standard validation and policy checks functionality, veraPDF's common use cases. Most veraPDF users don't insert…

Produkt

maven: org.verapdf:core | maven: org.verapdf:core-jakarta | maven: org.verapdf:core-arlington | maven: org.verapdf:verapdf-library-jakarta | maven: org.verapdf:verapdf-library-arlington | maven: org.verapdf:verapdf-library | maven: org.verapdf:library | maven: org.verapdf:library-jakarta | +1

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle
• CVE Record
• NVD

Mehr dazu