O Apache Tika, amplamente utilizado como toolkit de código aberto e multiplataforma para detecção e extração de metadados, foi atingido por uma vulnerabilidade de segurança que se revelou mais grave e com um escopo maior do que se pensava inicialmente. A falha primária recebeu a pontuação máxima de severidade. Essa vulnerabilidade permite ataques de Injeção de Entidade Externa XML. O ataque explora a capacidade de processamento de documentos do Tika, permitindo que invasores injetem código malicioso. Especificamente, a exploração ocorre ao esconder instruções de XML Forms Architecture (XFA) dentro de um arquivo PDF malicioso especialmente criado. Uma exploração bem-sucedida de XXE pode ter consequências graves, incluindo a leitura de dados confidenciais do sistema, o acionamento de requisições maliciosas a recursos internos, a criação de ataques de negação de serviço, ou até mesmo a execução remota de código. A confusão e o aumento da gravidade do problema decorrem do fato da falha se...