В Apache Tika нашли XXE-уязвимость CVSS 10.0 через XFA в PDF

В PDF-модуле Apache Tika обнаружена уязвимость CVE-2025-66516 с оценкой CVSS 10.0: парсер обрабатывает XFA-блоки с внешними XML-сущностями, что позволяет читать локальные файлы и делать исходящие запросы с хоста. Исправление вышло в версии 3.2.2, также закрыт CVE-2026-66755 в ветках core и alpha.

• CVE-2025-66516 получила максимальный балл CVSS 10.0
• Уязвимость затрагивает модули core, parsers и PDF в зависимости от версии
• Исправление выпущено в Apache Tika 3.2.2
• Рекомендуется отключить внешние сущности и запускать разбор в песочнице