External Entity Reference in TwelveMonkeys ImageIO

NGHIÊM TRỌNG 9.8CVE-2021-23792 · GHSA-pjch-4g28-fxx7 · SNYK-JAVA-COMTWELVEMONKEYSIMAGEIO-2316763 · Công bố 06/05/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-23792 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng com.twelvemonkeys.imageio:imageio-metadata, twelvemonkeys (twelvemonkeys project).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.1%, cao hơn 65.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.7.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
com.twelvemonkeys.imageio:imageio-metadata Maven	`< 3.7.1`	`3.7.1`
twelvemonkeys twelvemonkeys_project	`< 3.7.1`	`3.7.1`

Mô tả

The package com.twelvemonkeys.imageio:imageio-metadata before version 3.7.1 is vulnerable to XML External Entity (XXE) Injection due to an insecurely initialized XML parser for reading XMP Metadata. An attacker can exploit this vulnerability if they are able to supply a file (e.g. when an online profile picture is processed) with a malicious XMP segment. If the XMP metadata of the uploaded image is parsed, then the XXE vulnerability is triggered.

Mô tả của NVD

The package com.twelvemonkeys.imageio:imageio-metadata before 3.7.1 are vulnerable to XML External Entity (XXE) Injection due to an insecurely initialized XML parser for reading XMP Metadata. An attacker can exploit this vulnerability if they are able to supply a file (e.g. when an online profile picture is processed) with a malicious XMP segment. If the XMP metadata of the uploaded image is parsed, then the XXE vulnerability is triggered.