جزئیات آسیب‌پذیری
CVE-2025-59952
minio minio-java
minio-java Client XML Tag is Vulnerable to Value Substitution
CVSS 4.0
8.7بالا
شرح رسمی (انگلیسی)
MinIO Java SDK is a Simple Storage Service (aka S3) client to perform bucket and object operations to any Amazon S3 compatible object storage service. In minio-java versions prior to 8.6.0, XML tag values containing references to system properties or environment variables were automatically substituted with their actual values during processing. This unintended behavior could lead to the exposure of sensitive information, including credentials, file paths, or system configuration details, if such references were present in XML content from untrusted sources. This is fixed in version 8.6.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| minio | minio-java | < 8.6.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/minio/minio-java/security/advisories/GHSA-h7rh-xfpj-hpcm x_refsource_CONFIRM
- https://github.com/minio/minio-java/commit/f7a98d06b25e5464bdd4811b044e25ff9101d37f x_refsource_MISC
- https://github.com/minio/minio-java/releases/tag/8.6.0 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۷/۰۸
- آخرین به‌روزرسانی
- ۱۴۰۴/۱۱/۰۳
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۹٪
احتمال بهره‌برداری در ۳۰ روز
۴۲٫۴٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-20Improper Input Validation
- CWE-94Improper Control of Generation of Code ('Code Injection')