---
cve: "CVE-2025-54988"
severity: "HIGH"
cvss: 8.4
epss: "36.7%"
vendor: "Apache Software Foundation"
kev: false
exploited: false
published: "2025-08-20 20:15:33"
tags: [cve, security, high]
source: tsecurity.de CVE-Dossier
exported: "2026-10-29T14:38:30+01:00"
---

# CVE-2025-54988

> 8.4 HIGH

## Beschreibung

Critical XXE in Apache Tika (tika-parser-pdf-module) in Apache Tika 1.13 through and including 3.2.1 on all platforms allows an attacker to carry out XML External Entity injection via a crafted XFA file inside of a PDF. An attacker may be able to read sensitive data or trigger malicious requests to internal resources or third-party servers. Note that the tika-parser-pdf-module is used as a dependency in several Tika packages including at least: tika-parsers-standard-modules, tika-parsers-standard-package, tika-app, tika-grpc and tika-server-standard.

Users are recommended to upgrade to version 3.2.2, which fixes this issue.

## CNA-Record (Kanon, cvelistV5)

- CNA: **apache**
- State: PUBLISHED
- Stand: 2026-02-26 17:48:22
- CNA-CVSS: **8.4** (`CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`)

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **poc**
  - Automatable: **no**
  - Technical Impact: **total**

## CVSS-Vektor

```
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Lokal | good |
| AC Komplexität | Gering | bad |
| PR Privilegien | Keine | bad |
| UI Interaktion | Keine | bad |
| S Scope | Unverändert | good |
| C Vertraulichkeit | Hoch | bad |
| I Integrität | Hoch | bad |
| A Verfügbarkeit | Hoch | bad |

## Schwachstellen-Klasse

- **CWE-611** — Improper Restriction of XML External Entity Reference
  The product processes an XML document that can contain XML entities with URIs that resolve to documents outside of the intended sphere of control, causing the product to embed incorrect documents into its output.

## Angriffsmuster (CAPEC)

- [CAPEC-221 — Data Serialization External Entities Blowup](https://capec.mitre.org/data/definitions/221.html)

## Patch verfügbar (OSV)

- c5c9d00e475d48226dfe3f80a2891bfa5426043a

## BSI-Hinweise (deutsch)

- [Oracle Fusion Middleware: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-0162) — _BSI-Einstufung: kritisch_
  Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- [Atlassian Bamboo, Bitbucket, Confluence und Jira: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-0177) — _BSI-Einstufung: hoch_
  Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Atlassian Bitbucket, Atlassian Confluence und Atlassian Jira ausnutzen, um beliebigen Programmcode auszuführen, um Sicherheitsvorkehrungen zu umgehen, um einen Denial of Service Angriff durchzuführen, und um einen Cross-Site Scripting Angriff durchzuführen.
- [Apache Tika: Schwachstelle ermöglicht Infogewinn oder Manipulation](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2025-1883) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache Tika ausnutzen, um sensible Daten auszulesen oder bösartige Anfragen an interne Ressourcen oder Server von Drittanbietern auszulösen.

## Referenzen

- <https://lists.apache.org/thread/8xn3rqy6kz5b3l1t83kcofkw0w4mmj1w>
- <http://www.openwall.com/lists/oss-security/2025/08/20/2>
- <http://www.openwall.com/lists/oss-security/2025/08/20/3>
- <https://lists.debian.org/debian-lts-announce/2025/10/msg00030.html>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2025-54988/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_