crítica
CVE-2020-10683
dom4j: XML External Entity vulnerability in default SAX parser
En la Trivy database desde, como mínimo, el 24 oct 2026, 07:11 UTCNo consta cuándo entró antes de ese build.
Severidad por fuente
NVD9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
GHSA9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Red Hat7.4CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H
La etiqueta propia de Trivy es CRITICAL. Crítica según NVD, GHSA. Más baja según Red Hat (media), Ubuntu (media).
Descripción
dom4j before 2.0.3 and 2.1.x before 2.1.3 allows external DTDs and External Entities by default, which might enable XXE attacks. However, there is popular external documentation from OWASP showing how to enable the safe, non-default behavior in any application that uses dom4j.
Paquetes afectados y versiones corregidas
| Fuente | Paquete | Corregido en |
|---|---|---|
| maven::GitHub Security Advisory Maven | dom4j:dom4j, org.dom4j:dom4j | 2.0.3, 2.1.3 |
| debian 10 | dom4j | sin corrección indicada |
| debian 11 | dom4j | 2.1.3-1 |
| debian 12 | dom4j | 2.1.3-1 |
| debian 13 | dom4j | 2.1.3-1 |
| debian 14 | dom4j | 2.1.3-1 |
| debian 8 | dom4j | 1.6.1+dfsg.3-2+deb8u2 |
| debian 9 | dom4j | sin corrección indicada |
| echo | dom4j | 2.1.3-1 |
| Red Hat | candlepin, candlepin-selinux, dom4j y 9 más | sin corrección indicada |
| ubuntu 16.04 | dom4j | 1.6.1+dfsg.3-2ubuntu1.1 |
| ubuntu 16.04-ESM | dom4j | 1.6.1+dfsg.3-2ubuntu1.1 |
Mostrar las 26 entradas de 14 fuentes
| Fuente | Paquete | Corregido en |
|---|---|---|
| maven::GitHub Security Advisory Maven | dom4j:dom4j | sin corrección indicada |
| maven::GitHub Security Advisory Maven | org.dom4j:dom4j | 2.0.3, 2.1.3 |
| debian 10 | dom4j | sin corrección indicada |
| debian 11 | dom4j | 2.1.3-1 |
| debian 12 | dom4j | 2.1.3-1 |
| debian 13 | dom4j | 2.1.3-1 |
| debian 14 | dom4j | 2.1.3-1 |
| debian 8 | dom4j | 1.6.1+dfsg.3-2+deb8u2 |
| debian 9 | dom4j | sin corrección indicada |
| echo | dom4j | 2.1.3-1 |
| Red Hat | candlepin | sin corrección indicada |
| Red Hat | candlepin-selinux | sin corrección indicada |
| Red Hat | dom4j | sin corrección indicada |
| Red Hat | dom4j-demo | sin corrección indicada |
| Red Hat | dom4j-javadoc | sin corrección indicada |
| Red Hat | dom4j-manual | sin corrección indicada |
| Red Hat | rh-java-common-dom4j | sin corrección indicada |
| Red Hat | rh-java-common-dom4j-demo | sin corrección indicada |
| Red Hat | rh-java-common-dom4j-javadoc | sin corrección indicada |
| Red Hat | rh-java-common-dom4j-manual | sin corrección indicada |
| Red Hat | rh-maven35-dom4j | sin corrección indicada |
| Red Hat | rh-maven35-dom4j-javadoc | sin corrección indicada |
| ubuntu 16.04 | dom4j | 1.6.1+dfsg.3-2ubuntu1.1 |
| ubuntu 16.04-ESM | dom4j | 1.6.1+dfsg.3-2ubuntu1.1 |
| ubuntu 18.04-ESM | dom4j | sin corrección indicada |
| ubuntu 20.04-ESM | dom4j | sin corrección indicada |
Referencias
- http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00061.html
- https://access.redhat.com/security/cve/CVE-2020-10683
- https://bugzilla.redhat.com/show_bug.cgi?id=1694235
- https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.html
- https://github.com/dom4j/dom4j
- https://github.com/dom4j/dom4j/commit/1707bf3d898a8ada3b213acb0e3b38f16eaae73d
- https://github.com/dom4j/dom4j/commit/a8228522a99a02146106672a34c104adbda5c658
- https://github.com/dom4j/dom4j/commits/version-2.0.3
Las 28 referencias
- https://github.com/dom4j/dom4j/issues/87
- https://github.com/dom4j/dom4j/releases/tag/version-2.1.3
- https://lists.apache.org/thread.html/r51f3f9801058e47153c0ad9bc6209d57a592fc0e7aefd787760911b8@%3Cdev.velocity.apache.org%3E
- https://lists.apache.org/thread.html/r91c64cd51e68e97d524395474eaa25362d564572276b9917fcbf5c32@%3Cdev.velocity.apache.org%3E
- https://lists.apache.org/thread.html/rb1b990d7920ae0d50da5109b73b92bab736d46c9788dd4b135cb1a51@%3Cnotifications.freemarker.apache.org%3E
- https://nvd.nist.gov/vuln/detail/CVE-2020-10683
- https://security.netapp.com/advisory/ntap-20200518-0002
- https://security.netapp.com/advisory/ntap-20200518-0002/
- https://ubuntu.com/security/notices/USN-4575-1
- https://usn.ubuntu.com/4575-1
- https://usn.ubuntu.com/4575-1/
- https://www.cve.org/CVERecord?id=CVE-2020-10683
- https://www.oracle.com//security-alerts/cpujul2021.html
- https://www.oracle.com/security-alerts/cpuApr2021.html
- https://www.oracle.com/security-alerts/cpujan2021.html
- https://www.oracle.com/security-alerts/cpujan2022.html
- https://www.oracle.com/security-alerts/cpujul2020.html
- https://www.oracle.com/security-alerts/cpujul2022.html
- https://www.oracle.com/security-alerts/cpuoct2020.html
- https://www.oracle.com/security-alerts/cpuoct2021.html