CVE-2025-52888

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات Allure 2 الأقدم من 2.34.1

الوصف:

توجد ثغرة أمنية حرجة تتعلق بـ «الكيان الخارجي XML» (XXE) في المكون الإضافي xunit-xml-plugin الذي يستخدمه Allure 2. لا يقوم المكون الإضافي بتكوين محلل XML (DocumentBuilderFactory) بشكل آمن، ويسمح بتوسيع الكيانات الخارجية عند معالجة ملفات .xml الخاصة بنتائج الاختبارات. وهذا يتيح للمهاجمين قراءة ملفات عشوائية من نظام الملفات، وقد يؤدي إلى حدوث تزوير لطلبات الخادم (SSRF).

التوصيات:

بالنسبة للإصدارات الأقدم من 2.34.1، قم بالتحديث إلى الإصدار 2.34.1 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى المكون الإضافي xunit-xml-plugin لتقليل مخاطر الاستغلال. تجنب استخدام DocumentBuilderFactory بالإعدادات الافتراضية في المكون الإضافي المتأثر حتى يتم حل المشكلة.