PT-2025-26776 · Allure 2+1 · Allure 2+1

Derekhaber · Publicado 2025-06-24 · Atualizado 2025-06-25 · CVE-2025-52888

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Allure 2 anteriores à 2.34.1

Descrição: Existe uma vulnerabilidade crítica de Entidade Externa XML (XXE) no plugin xunit-xml-plugin utilizado pelo Allure 2. O plugin não configura o analisador XML (DocumentBuilderFactory) de forma segura e permite a expansão de entidades externas ao processar arquivos .xml de resultados de testes. Isso permite que atacantes leiam arquivos arbitrários do sistema de arquivos e potencialmente desencadeiem falsificação de solicitação do lado do servidor (SSRF).

Recomendações: Para versões anteriores à 2.34.1, atualize para a versão 2.34.1 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao plugin xunit-xml-plugin para minimizar o risco de exploração. Evite utilizar o DocumentBuilderFactory com configurações padrão no plugin afetado até que o problema seja resolvido.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2025-52888

GHSA-H7QF-QMF3-85QG

Produtos afetados

Allure 2

Xunit-Xml-Plugin

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/52xxx/CVE-2025-52888.json · Exploit
• https://github.com/allure-framework/allure2 · Nota
• https://github.com/allure-framework/allure2/security/advisories/GHSA-h7qf-qmf3-85qg · Nota
• https://github.com/allure-framework/allure2/commit/cbcb33719851ff70adce85d38e15d20fc58d4eb7 · Nota
• https://osv.dev/vulnerability/CVE-2025-52888 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-h7qf-qmf3-85qg · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-52888 · Nota de Segurança
• https://t.me/cvetracker/26978 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1937606227455844463 · Publicação no Twitter