Gematik Referenzvalidator has an XXE vulnerability that can lead to a Server Side Request Forgery attack
Impact
The profile location routine in the referencevalidator commons package is vulnerable to XML External Entities attack due to insecure defaults of the used Woodstox WstxInputFactory. A malicious XML resource can lead to network requests issued by referencevalidator and thus to a Server Side Request Forgery attack.
The vulnerability impacts applications which use referencevalidator to process XML resources from untrusted sources.
Patches
The problem has been patched with the 2.5.1 version of the referencevalidator. Users are strongly recommended to update to this version or a more recent one.
Workarounds
A pre-processing or manual analysis of input XML resources on existence of DTD definitions or external entities can mitigate the problem.
References
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | de.gematik.refv.commons:commons | < 2.5.1 | 2.5.1 |
Referencias
- https://github.com/gematik/app-referencevalidator/security/advisories/GHSA-68j8-fp38-p48q
- https://nvd.nist.gov/vuln/detail/CVE-2024-46984
- https://github.com/gematik/app-referencevalidator/commit/d6d27613fab7a8dd08534946f29e0c51f319cad6
- https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.html#transformerfactory
- https://github.com/gematik/app-referencevalidator
- https://github.com/gematik/app-referencevalidator/releases/tag/2.5.1
- https://owasp.org/www-community/attacks/Server_Side_Request_Forgery
- https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)
- https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)#
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N- Debilidad (CWE)
CWE-611- Plataforma
- Java / Kotlin (Maven)
- Paquete
de.gematik.refv.commons:commons- Publicada
- 19.09.2024
- Actualizado
- 11.10.2026 12:21
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-68j8-fp38-p48q - CC BY 4.0
Historial de vulnerabilidades: de.gematik.refv.commons:commons
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.