Dspace · Dspace · CVE-2025-53621
**Nome do Software Vulnerável e Versões Afetadas**
Versões do DSpace anteriores à 7.6.4
Versões do DSpace anteriores à 8.2
Versões do DSpace anteriores à 9.1
**Descrição**
O DSpace é uma aplicação de repositório que fornece acesso durável a recursos digitais. Existem duas possibilidades relacionadas de injeção de Entidade Externa XML (XXE). Entidades externas não são desabilitadas ao analisar arquivos XML durante a importação de um arquivo (no Formato de Arquivo Simples) pela linha de comando (comando `./dspace import`) ou pelo recurso de interface do usuário "Importação em Lote (Zip)". Entidades externas também não são explicitamente desabilitadas ao analisar respostas XML de alguns serviços upstream (ArXiv, Crossref, OpenAIRE, Creative Commons) usados na importação de fontes externas via interface do usuário ou API REST. Uma injeção XXE nesses arquivos pode resultar em uma conexão sendo estabelecida para o site de um atacante ou para um caminho local legível pelo usuário do Tomcat, com conteúdo potencialmente sendo injetado em um campo de metadados. Isso pode resultar na divulgação de conteúdo sensível, incluindo a recuperação de arquivos arbitrários ou configurações do servidor onde o DSpace está em execução. O importador do Formato de Arquivo Simples (SAF) / Importação em Lote (Zip) é utilizável apenas por administradores do site (via interface do usuário / API REST) ou administradores do sistema (via linha de comando). Portanto, para explorar este problema, o payload malicioso teria que ser fornecido por um atacante e considerado confiável por um administrador, que acionaria a importação.
**Recomendações**
Atualize para a versão 7.6.4 do DSpace.
Atualize para a versão 8.2 do DSpace.
Atualize para a versão 9.1 do DSpace.
Os administradores devem inspecionar cuidadosamente qualquer arquivo SAF que não tenham criado eles mesmos antes de importar.
Conforme necessário, os serviços externos afetados podem ser desabilitados para mitigar a capacidade de payloads serem entregues via APIs de serviços externos.