CVE-2021-21343

Versões do XStream anteriores à 1.4.16

O XStream é uma biblioteca Java usada para serializar objetos para XML e vice-versa. A vulnerabilidade existe no XStream em versões anteriores à 1.4.16, onde um invasor pode manipular o fluxo de entrada processado e substituir ou injetar objetos, resultando na exclusão de um arquivo no host local. Esse problema ocorre porque o XStream cria novas instâncias com base nas informações de tipo no fluxo processado no momento da desmarcação. Usuários que configuraram a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários não são afetados.

Para versões anteriores à 1.4.16, use pelo menos a versão 1.4.16 para resolver o problema. Como solução alternativa temporária, considere configurar a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários para minimizar o risco de exploração.