CVE-2018-11761· NVD / CVE Program· CNA apache

In Apache Tika 0.1 to 1.18, the XML parsers were not configured to limit entity expansion.

In Apache Tika 0.1 to 1.18, the XML parsers were not configured to limit entity expansion. They were therefore vulnerable to an entity expansion vulnerability which can lead to a denial of service attack.

ВысокаяCVSS 7.5 · v3.0—Proof of concept Есть исправление

Опубликовано: 19 сент. 2018 г.
Обновлено: 16 июн. 2026 г.
EPSS: 9,4 % · 95-й процентиль
CWE: CWE-611

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 3 / 30 · 9,4 %

Затронутые системы

Вендор	Продукт	CPE
apache	tika	cpe:2.3:a:apache:tika
oracle	business process management suite	cpe:2.3:a:oracle:business_process_management_suite

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

apache tika0.1 и новее · до 1.18 включительно
oracle business process management suite12.1.3.0.0
oracle business process management suite12.2.1.3.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (apache). Не зависят от анализа CPE в NVD и обычно опережают его.

Apache Software Foundation Apache Tika
- 0.1 to 1.18затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:11	tika	до 1.20-1	1.20-1
Maven	org.apache.tika:tika-core	с 0.1 · до 1.19.1	1.19.1
SUSE:Manager Proxy 3.2	spacewalk-web	до 2.8.7.11-3.13.3	2.8.7.11-3.13.3
SUSE:Manager Server 3.2	apache-mybatis	до 3.2.3-3.3.3	3.2.3-3.3.3
SUSE:Manager Server 3.2	cobbler	до 2.6.6-6.10.3	2.6.6-6.10.3
SUSE:Manager Server 3.2	hadoop	до 0.18.1-3.3.3	0.18.1-3.3.3
SUSE:Manager Server 3.2	image-sync-formula	до 0.1.1542287363.b8aa274-3.6.3	0.1.1542287363.b8aa274-3.6.3
SUSE:Manager Server 3.2	lucene	до 2.4.1-4.3.3	2.4.1-4.3.3
SUSE:Manager Server 3.2	nekohtml	до 1.9.21-3.3.3	1.9.21-3.3.3
SUSE:Manager Server 3.2	nutch-core	до 1.0.1-7.10.3	1.0.1-7.10.3
SUSE:Manager Server 3.2	picocontainer	до 1.3.7-3.3.3	1.3.7-3.3.3
SUSE:Manager Server 3.2	python-susemanager-retail	до 1.0.1542643545.8752d17-2.6.3	1.0.1542643545.8752d17-2.6.3
SUSE:Manager Server 3.2	salt-netapi-client	до 0.15.0-4.3.3	0.15.0-4.3.3
SUSE:Manager Server 3.2	saltboot-formula	до 0.1.1542287363.b8aa274-3.6.3	0.1.1542287363.b8aa274-3.6.3
SUSE:Manager Server 3.2	spacecmd	до 2.8.25.7-3.9.3	2.8.25.7-3.9.3
SUSE:Manager Server 3.2	spacewalk-branding	до 2.8.5.12-3.10.4	2.8.5.12-3.10.4
SUSE:Manager Server 3.2	spacewalk-config	до 2.8.5.5-3.10.3	2.8.5.5-3.10.3
SUSE:Manager Server 3.2	spacewalk-java	до 2.8.78.13-3.13.1	2.8.78.13-3.13.1
SUSE:Manager Server 3.2	spacewalk-search	до 2.8.3.7-3.12.3	2.8.3.7-3.12.3
SUSE:Manager Server 3.2	spacewalk-setup	до 2.8.7.5-3.10.3	2.8.7.5-3.10.3
SUSE:Manager Server 3.2	spacewalk-utils	до 2.8.18.3-3.3.3	2.8.18.3-3.3.3
SUSE:Manager Server 3.2	susemanager	до 3.2.14-3.13.3	3.2.14-3.13.3
SUSE:Manager Server 3.2	susemanager-docs_en	до 3.2-11.12.3	3.2-11.12.3
SUSE:Manager Server 3.2	susemanager-frontend-libs	до 3.2.4-3.7.3	3.2.4-3.7.3

Тот же продукт

apache: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2025-66516Apache Tika core, Apache Tika parsers, Apache Tika PDF parser module: Update to CVE-2025-54988 to expand scope of artifacts affected
65На этой неделе
CVE-2018-1335From Apache Tika versions 1.7 to 1.17, clients could send carefully crafted headers to tika-server that could be used to inject commands int
60На этой неделе
CVE-2025-54988Apache Tika PDF parser module: XXE vulnerability in PDFParser's handling of XFA
44В плане
CVE-2019-10088A carefully crafted or corrupt zip file can cause an OOM in Apache Tika's RecursiveParserWrapper in versions 1.7-1.21.
36Наблюдать
CVE-2019-10094A carefully crafted package/compressed file that, when unzipped/uncompressed yields the same file (a quine), causes a StackOverflowError in
32Наблюдать
CVE-2018-11796In Apache Tika 1.19 (CVE-2018-11761), we added an entity expansion limit for XML parsing.
32Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
debian:tika	1.20-1 · Debian:11	Реестр пакетов (OSV)
Maven:org.apache.tika:tika-core	1.19.1	Реестр пакетов (OSV)
suse:apache-mybatis	3.2.3-3.3.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:cobbler	2.6.6-6.10.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:hadoop	0.18.1-3.3.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:image-sync-formula	0.1.1542287363.b8aa274-3.6.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:lucene	2.4.1-4.3.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:nekohtml	1.9.21-3.3.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:nutch-core	1.0.1-7.10.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:picocontainer	1.3.7-3.3.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:python-susemanager-retail	1.0.1542643545.8752d17-2.6.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:salt-netapi-client	0.15.0-4.3.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:saltboot-formula	0.1.1542287363.b8aa274-3.6.3 · SUSE:Manager Server 3.2	Реестр пакетов (OSV)
suse:spacewalk-web	2.8.7.11-3.13.3 · SUSE:Manager Proxy 3.2	Реестр пакетов (OSV)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	stars:9	2019-01-23

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация19 сент. 2018 г.
Первый PoC23 янв. 2019 г.+126 дн.
Сегодня30 сент. 2026 г.+2933 дн.

EPSS за 120 дней+1 % за 7 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: нет
Целостность: нет
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Нет
Влияние на целостность: Нет
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-611 · Improper Restriction of XML External Entity Reference

Вектор CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Data Serialization External Entities BlowupCAPEC-221

Техники ATT&CK

—

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:47 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Источники данных и проверка

CNA: apache

CVE.org (CNA)16 сент. 2024 г., 18:39 UTC
NVD16 июн. 2026 г., 21:36 UTC
FIRST EPSS29 сент. 2026 г., 00:00 UTC
OSV / GHSA30 сент. 2026 г., 03:23 UTC
PoC-in-GitHub30 сент. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.

Вы видите все CVE. Добавьте свой стек, чтобы оставить только те, что касаются вас.

Добавьте свой стек