यह पृष्ठ अभी तक आपकी भाषा में अनुवादित नहीं हुआ है। हम इस पर काम कर रहे हैं, तब तक अंग्रेज़ी में सामग्री दिखाई जा रही है।
💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.
CVE-2025-53621: XXE Injection in DSpace API
प्लेटफ़ॉर्म
java
घटक
org.dspace:dspace-api
में ठीक किया गया
7.6.4
CVE-2025-53621 describes two related XML External Entity (XXE) injection vulnerabilities discovered in the DSpace API. These vulnerabilities allow attackers to potentially read sensitive files or, in some scenarios, execute arbitrary code. The issue impacts DSpace versions prior to 7.6.4, 8.2, and 9.1, arising from improper handling of XML parsing during archive imports and external API responses. A fix is available in DSpace 7.6.4.
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।
प्रभाव और हमले की स्थितियाँअनुवाद हो रहा है…
Successful exploitation of CVE-2025-53621 could allow an attacker to read arbitrary files from the server's filesystem. This includes potentially accessing configuration files, database credentials, or other sensitive data. The first vulnerability arises during the import of archives using the Simple Archive Format, either through the command line (./dspace import) or the user interface. The second vulnerability stems from parsing XML responses from external sources. While direct remote code execution is not guaranteed, the ability to read local files significantly increases the attack surface and could be a stepping stone for further exploitation, such as privilege escalation or data exfiltration. The impact is amplified in environments where DSpace is used to manage sensitive research data or institutional repositories.
शोषण संदर्भअनुवाद हो रहा है…
The vulnerability was published on 2025-07-15. Currently, there's no indication of this CVE being on KEV or having a high EPSS score. Public proof-of-concept (POC) code is not yet widely available, but the XXE nature of the vulnerability makes it likely that such exploits will emerge. Active campaigns targeting DSpace are not currently reported, but the ease of exploitation once a POC is available warrants vigilance.
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.06% (18% शतमक)
CISA SSVC
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- उच्च — व्यवस्थापक या विशेषाधिकार प्राप्त खाते की आवश्यकता।
- User Interaction
- आवश्यक — पीड़ित को फ़ाइल खोलनी, लिंक पर क्लिक करना या पेज पर जाना होगा।
- Scope
- बदला हुआ — हमला कमज़ोर घटक से परे अन्य प्रणालियों तक फैल सकता है।
- Confidentiality
- उच्च — पूर्ण गोपनीयता हानि। हमलावर सभी डेटा पढ़ सकता है।
- Integrity
- कोई नहीं — अखंडता पर कोई प्रभाव नहीं।
- Availability
- निम्न — आंशिक या रुक-रुक कर सेवा से इनकार।
प्रभावित सॉफ्टवेयर
कमजोरी वर्गीकरण (CWE)
समयरेखा
- आरक्षित
- प्रकाशित
- EPSS अद्यतन
शमन और वर्कअराउंडअनुवाद हो रहा है…
The primary mitigation for CVE-2025-53621 is to upgrade to DSpace version 7.6.4 or later. If an immediate upgrade is not feasible, consider implementing temporary workarounds. Disable external entity resolution within the DSpace import process by configuring XML parsing libraries to explicitly disallow external entities. Restrict access to the dspace import command to trusted users only. Carefully review and validate all XML responses received from external sources before processing them within DSpace. After upgrading, confirm the fix by attempting an archive import and verifying that external entity resolution is disabled.
कैसे ठीक करेंअनुवाद हो रहा है…
Actualice DSpace a la versión 7.6.4, 8.2 o 9.1. Si no puede actualizar inmediatamente, aplique el parche manualmente proporcionado por DSpace. Inspeccione cuidadosamente los archivos SAF antes de importarlos y deshabilite los servicios externos afectados para mitigar la vulnerabilidad.
अक्सर पूछे जाने वाले सवालअनुवाद हो रहा है…
What is CVE-2025-53621 — XXE Injection in DSpace API?
CVE-2025-53621 is an XXE injection vulnerability affecting DSpace API versions up to 7.6.3, 8.1, and 9.0. It allows attackers to potentially read sensitive files from the server. The CVSS score is 6.9 (MEDIUM).
Am I affected by CVE-2025-53621 in DSpace API?
You are affected if you are running DSpace API versions prior to 7.6.4, 8.2, or 9.1. Check your version using ./dspace --version to determine your risk level.
How do I fix CVE-2025-53621 in DSpace API?
The recommended fix is to upgrade to DSpace version 7.6.4 or later. If an upgrade is not immediately possible, implement workarounds such as disabling external entity resolution in XML parsing.
Is CVE-2025-53621 being actively exploited?
Currently, there are no reports of active exploitation campaigns targeting CVE-2025-53621, but the vulnerability's nature suggests potential for future exploitation.
Where can I find the official DSpace advisory for CVE-2025-53621?
Refer to the official DSpace security advisory for detailed information and updates regarding CVE-2025-53621: [https://wiki.lyrasis.org/display/DSD/Security+Advisories](https://wiki.lyrasis.org/display/DSD/Security+Advisories)
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।
अपने Java / Maven प्रोजेक्ट को अभी स्कैन करें — कोई खाता नहीं
Upload your pom.xml and get the vulnerability report instantly. No account. Uploading the file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
अपनी डिपेंडेंसी फ़ाइल ड्रैग और ड्रॉप करें
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...