CVE-2024-31573

Versões do XMLUnit para Java anteriores à 2.10.0

O problema decorre do fato de o XMLUnit para Java não desativar as funções de extensão XSLT por padrão ao realizar transformações XSLT. Isso poderia permitir a execução de código arbitrário quando o XMLUnit é usado para transformar dados com uma folha de estilo não confiável, levando potencialmente à execução remota de código se a folha de estilo puder ser fornecida externamente.

Para versões anteriores à 2.10.0, os usuários devem atualizar para o XMLUnit para Java 2.10.0, onde a configuração padrão foi alterada para desativar as funções de extensão XSLT.

Como solução alternativa temporária, os usuários que executam transformações XSLT com folhas de estilo não confiáveis devem usar explicitamente as APIs do XMLUnit para passar um TransformerFactory do TraX pré-configurado com as funções de extensão desativadas por meio de recursos e atributos.