Hutool是一个流行的Java工具库，其XmlUtil.readObjectFromXml方法存在安全风险，允许攻击者通过恶意XML字符串执行任意代码。此漏洞影响Hutool-core在5.8.11之前的版本。虽然官方尚未发布补丁，但用户应避免直接使用readObjectFromXml处理用户输入，并添加XML数据的安全验证。
项目介绍
Hutool是一个小而全的Java工具类库，通过静态方法封装，降低相关API的学习成本，提高工作效率，使Java拥有函数式语言般的优雅，让Java语言也可以“甜甜的”。
Hutool中的工具方法来自每个用户的精雕细琢，它涵盖了Java开发底层代码中的方方面面，它既是大型项目开发中解决小问题的利器，也是小型项目中的效率担当；
Hutool是项目中“util”包友好的替代，它节省了开发人员对项目中公用类和公用工具方法的封装时间，使开发专注于业务，同时可以最大限度的避免封装不完善带来的bug。
项目地址
https://gitee.com/dromara/hutool
漏洞概述
Hutool 中的XmlUtil.readObjectFromXml方法直接封装调用XMLDecoder.readObject解析xml数据，如果开发者未对用户输入的XML字符串进行安全检查并直接通过readObjectFromXml处理，那么攻击者通过提供恶意的XML字符串将造成任意代码执行。
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
