Mittel

Eclipse JGit XML External Entity (XXE) Vulnerability

Veröffentlicht: 21.05.2025
Aktualisiert: 11.10.2026 13:20

In Eclipse JGit versions 7.2.0.202503040940-r and older, the ManifestParser class used by the repo command and the AmazonS3 class used to implement the experimental amazons3 git transport protocol allowing to store git pack files in an Amazon S3 bucket, are vulnerable to XML External Entity (XXE) attacks when parsing XML files. This vulnerability can lead to information disclosure, denial of service, and other security issues.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.eclipse.jgit:org.eclipse.jgit	>= 7.2.0.202503040940-r, < 7.2.1.202505142326-r, >= 7.1.0.202411261347-r, < 7.1.1.202505221757-r, >= 7.0.0.202409031743-r, < 7.0.1.202505221510-r, >= 6.1.0.202203080745-r, < 6.10.1.202505221210-r, >= 6.0.0.202110060947-m1, < 6.0.0.202111291000-r, < 5.13.4.202507202350-r	7.2.1.202505142326-r, 7.1.1.202505221757-r, 7.0.1.202505221510-r, 6.10.1.202505221210-r, 6.0.0.202111291000-r, 5.13.4.202507202350-r

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:A/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
Schwäche (CWE): CWE-611
Plattform: Java / Kotlin (Maven)
Paket: org.eclipse.jgit:org.eclipse.jgit
Veröffentlicht: 21.05.2025
Aktualisiert: 11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-vrpq-qp53-qv56 - CC BY 4.0

Schwachstellenhistorie: org.eclipse.jgit:org.eclipse.jgit

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 3
Erste → letzte: 02.2020 05.2025
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 1
Mittel 1

Veröffentlichungen pro Jahr

2020: 1
2021: 0
2022: 0
2023: 1
2024: 0
2025: 1
2026: 0

21.05.2025

Eclipse JGit XML External Entity (XXE) Vulnerability dieser Eintrag

Mittel CVE-2025-4949 >= 7.2.0.202503040940-r, < 7.2.1.202505142326-r, >= 7.1.0.202411261347-r, < 7.1.1.202505221757-r, >= 7.0.0.202409031743-r, < 7.0.1.202505221510-r, >= 6.1.0.202203080745-r, < 6.10.1.202505221210-r, >= 6.0.0.202110060947-m1, < 6.0.0.202111291000-r, < 5.13.4.202507202350-r 7.2.1.202505142326-r, 7.1.1.202505221757-r, 7.0.1.202505221510-r, 6.10.1.202505221210-r, 6.0.0.202111291000-r, 5.13.4.202507202350-r
18.09.2023

Arbitrary File Overwrite in Eclipse JGit

Hoch · 8.8 CVE-2023-4759 >= 6.0.0.202111291000-r, < 6.6.1.202309021850-r, < 5.13.3.202401111512-r 6.6.1.202309021850-r, 5.13.3.202401111512-r
12.02.2020

Git before 1.8.5.6, 1.9.x before 1.9.5, 2.0.x before 2.0.5, 2.1.x before 2.1.4, and 2.2.x before 2.2.1 on Windows and OS X; Mercurial before 3.2.3 on Windows and OS X; Apple Xcode before 6.2 beta 3; m

Kritisch · 9.8 CVE-2014-9390 < 3.5.3 3.5.3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden