PowSyBl Core XML Reader में XXE और SSRF की अनुमति देता है

यह भेद्यता हमलावरों को आंतरिक सेवाओं और संसाधनों तक अनधिकृत पहुंच प्राप्त करने की अनुमति देती है। com.powsybl.commons.xml.XmlReader वर्ग में XML पार्सिंग के दौरान XXE और SSRF हमले हो सकते हैं। हमलावर संवेदनशील फ़ाइलों को पढ़ सकते हैं, जिनमें कॉन्फ़िगरेशन फ़ाइलें, डेटाबेस क्रेडेंशियल या अन्य गोपनीय जानकारी शामिल हो सकती है। मल्टी-टेनेंट अनुप्रयोगों में, यह भेद्यता एक उपयोगकर्ता को अन्य उपयोगकर्ताओं के संसाधनों तक पहुंचने की अनुमति दे सकती है, जिससे डेटा उल्लंघन या सेवा व्यवधान हो सकता है। यदि हमलावर आंतरिक नेटवर्क तक पहुंच प्राप्त कर सकता है, तो वह अन्य प्रणालियों पर भी हमला कर सकता है, जिससे व्यापक क्षति हो सकती है।

Applications utilizing com.powsybl:powsybl-commons versions 6.7.1 or earlier are at risk. This includes Java-based applications, particularly those that process XML data from untrusted sources, such as multi-tenant applications or those integrating with external systems. Legacy systems that have not been regularly updated are also at increased risk.

• java / server:

find / -name "powsybl-commons-*.jar" -print0 | xargs -0 java -jar <jar_file> -Djava.security.xml.external.entities=null -Djava.security.xml.external.dtd=null

• linux / server:

journalctl -u <application_name> | grep -i "xml parsing" 

• generic web:

curl -I <application_url>/xml-endpoint | grep -i "Server: Powsybl"

1. 2025-06-19Disclosure

   disclosure

1. आरक्षित2025-05-05
2. प्रकाशित2025-06-19
3. संशोधित2025-06-20
4. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने के लिए, com.powsybl.powsybl-commons लाइब्रेरी को संस्करण 6.7.2 या बाद के संस्करण में अपग्रेड करने की अनुशंसा की जाती है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके SSRF हमलों को ब्लॉक कर सकते हैं। इसके अतिरिक्त, आप XML इनपुट को मान्य करके और बाहरी संसाधनों तक पहुंच को प्रतिबंधित करके भेद्यता की सतह को कम कर सकते हैं। सुनिश्चित करें कि XML पार्सिंग के लिए उपयोग किए जाने वाले सभी इनपुट विश्वसनीय स्रोतों से हैं। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, उदाहरण के लिए, एक SSRF परीक्षण चलाकर।