CVE-2021-23463

com.h2database:h2, versões 1.4.198 a 2.0.202

O problema está relacionado à injeção de entidade externa XML (XXE) por meio do objeto da classe org.h2.jdbc.JdbcSQLXML. Isso ocorre quando o objeto recebe dados de string analisados do método org.h2.jdbc.JdbcResultSet.getSQLXML() e executa o método getSource() com o parâmetro DOMSource.class. A vulnerabilidade permite que um invasor remoto realize ataques XXE devido à restrição incorreta de referências a entidades externas XML.

Para as versões 1.4.198 a 2.0.202, considere desativar o objeto da classe org.h2.jdbc.JdbcSQLXML ou restringir seu uso até que um patch esteja disponível. Como solução alternativa temporária, evite usar o método getSource() com o parâmetro DOMSource.class para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.