Improper Restriction of XML External Entity Reference in com.h2database:h2.

NGHIÊM TRỌNG 9.1CVE-2021-23463 · GHSA-7rpj-hg47-cx62 · SNYK-JAVA-COMH2DATABASE-1769238 · Công bố 10/12/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-23463 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.1) ảnh hưởng com.h2database:h2, h2 (h2database).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.8%, cao hơn 86.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.0.202 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
com.h2database:h2 Maven	`≥ 1.4.198, < 2.0.202`	`2.0.202`
h2 h2database	`≥ 1.4.198, < 2.0.202`	`2.0.202`

Mô tả

H2 is an embeddable RDBMS written in Java. The package com.h2database:h2 from 1.4.198 and before 2.0.202 are vulnerable to XML External Entity (XXE) Injection via the org.h2.jdbc.JdbcSQLXML class object, when it receives parsed string data from org.h2.jdbc.JdbcResultSet.getSQLXML() method. If it executes the getSource() method when the parameter is DOMSource.class it will trigger the vulnerability.

Mô tả của NVD

The package com.h2database:h2 from 1.4.198 and before 2.0.202 are vulnerable to XML External Entity (XXE) Injection via the org.h2.jdbc.JdbcSQLXML class object, when it receives parsed string data from org.h2.jdbc.JdbcResultSet.getSQLXML() method. If it executes the getSource() method when the parameter is DOMSource.class it will trigger the vulnerability.