FICHE CVE

CVE-2016-4434

Publiée le 2017-09-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'Apache Tika antérieures à 1.13 sont vulnérables à une attaque par entité externe XML (XXE) lors du traitement de fichiers PDF ou OOXML spécialement conçus. Un attaquant peut utiliser ces fichiers pour lire des fichiers locaux du système ou déclencher des requêtes réseau internes, compromettant potentiellement la confidentialité et l'intégrité du serveur. L'exploitation ne nécessite aucune authentification, mais requiert qu'un utilisateur télécharge ou fournisse un fichier malveillant pour que le système le traite.

CVSS 3.07.8 ÉLEVÉE

Type de faiblesse

Entité externe XML (XXE) · CWE-611

Publiée2017-09-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Apache Tika before 1.13 does not properly initialize the XML parser or choose handlers, which might allow remote attackers to conduct XML External Entity (XXE) attacks via vectors involving (1) spreadsheets in OOXML files and (2) XMP metadata in PDF and other file formats, a related issue to CVE-2016-2175.