Vulnerabilidad en PowSyBl (CVE-2025-47293)
Gravedad CVSS v4.0:
BAJA
Tipo:
CWE-611
Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
19/06/2025
Última modificación:
19/06/2025
Descripción
PowSyBl (Power System Blocks) es un framework para crear software orientado a sistemas de energía. Antes de la versión 6.7.2, en ciertas áreas, el análisis de XML de powsybl-core era vulnerable a ataques de entidad externa XML (XXE) y a server-side request forgery (SSRF). Esto permite a un atacante elevar sus privilegios para leer archivos para los que no tiene permiso, incluyendo archivos confidenciales del sistema. La clase vulnerable es com.powsybl.commons.xml.XmlReader, que se considera no confiable en casos donde usuarios no confiables pueden enviar su XML a los métodos vulnerables. Esto puede ocurrir en una aplicación multiusuario que aloja a muchos usuarios diferentes, posiblemente con diferentes niveles de privilegio. Este problema se ha corregido en com.powsybl:powsybl-commons: 6.7.2.