一、漏洞详情

Apache Tika是一个由Apache软件基金会维护的开源内容检测与分析工具包。

监测到官方修复Apache Tika XML外部实体注入漏洞(CVE-2025-66516)，该漏洞源于Apache Tika在处理PDF文件中的XFA 内容时，未对外部实体进行充分限制，导致攻击者可以通过构造恶意的 XML 文件触发 XXE 攻击。成功利用此漏洞可导致服务器上的敏感信息（如配置文件、密码文件、源代码等）泄露、执行拒绝服务攻击，甚至在内网环境中进行端口扫描。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

1.13 <= Apache Tika core (org.apache.tika:tika-core) <= 3.2.1

1.13 <= Apache Tika parsers (org.apache.tika:tika-parsers) < 2.0.0

2.0.0 <= Apache Tika PDF parser module (org.apache.tika:tika-parser-pdf-module) <= 3.2.1

三、修复建议

官方已发布安全补丁，请及时更新至最新版本：

Apache Tika core >= 3.2.2

Apache Tika PDF parser module >= 3.2.2