CVE-2025-66516

Vulnérabilité Apache Tika : Injection XXE via des fichiers XFA dans les PDF

Une faille de sécurité critique, identifiée sous la référence CVE-2025-66516, a été découverte dans plusieurs composants d’Apache Tika, notamment tika-core (versions 1.13 à 3.2.1), tika-pdf-module (versions 2.0.0 à 3.2.1) et tika-parsers (versions 1.13 à 1.28.5).

Points Clés :

• Type de vulnérabilité : Injection XML External Entity (XXE).
• Vecteur d’attaque : Un fichier XFA spécialement conçu, intégré dans un document PDF.
• Impact potentiel : Permet à un attaquant d’interférer avec le traitement des données XML par l’application, potentiellement en accédant à des fichiers locaux, des ressources réseau internes ou d’autres informations sensibles sur le serveur exécutant Tika.

Vulnérabilités Mentionnées :

• CVE-2025-66516

Recommandations :

• Mettre à jour le composant tika-core vers la version 3.2.2 ou une version ultérieure.
• S’assurer que tous les autres composants Tika associés sont mis à jour de manière cohérente.

Source