تم اكتشاف ثغرة أمنية حرجة في Apache Tika، مما يفتح الباب أمام هجمات حقن كيان خارجي XML (XXE). تم تصنيف هذه الثغرة، المعروفة برقم CVE-2025-66516، بالخطورة القصوى، حيث حصلت على درجة 10.0 على مقياس CVSS.
تسمح هذه الثغرة الأمنية للمهاجمين بتنفيذ هجمات حقن كيان خارجي XML (XXE) عن طريق ملف XFA مصمم خصيصًا داخل ملف PDF. ويؤكد هذا الاكتشاف على الأهمية المتزايدة لأمن التطبيقات والحاجة الملحة إلى معالجة نقاط الضعف.
ثغرة Apache Tika الحرجة وتداعياتها
وفقًا للإشعارات الرسمية، فإن الثغرة الأمنية تؤثر على وحدات Apache Tika المختلفة، بما في ذلك tika-core، و tika-pdf-module، و tika-parsers. وتحديداً، تشمل الإصدارات المتأثرة: tika-core (من 1.13 إلى 3.2.1)، و tika-pdf-module (من 2.0.0 إلى 3.2.1)، و tika-parsers (من 1.13 إلى 1.28.5). هذا الانتشار الواسع في الوحدات يزيد من نطاق الخطر المحتمل.
من جهة أخرى، يشير الإصدار الجديد CVE-2025-66516، الذي تم تطويره بواسطة فريق Apache Tika، إلى توسيع نطاق التهديد مقارنة بالثغرة السابقة CVE-2025-54988. ويعود هذا التوسع في التأثير إلى عاملين رئيسيين.
توسيع نطاق التأثير
أولاً، بينما كان المنفذ الرئيسي للثغرة السابقة هو tika-pdf-module، فإن الثغرة الحالية وإصلاحها يقعان في tika-core. وهذا يعني أن المستخدمين الذين قاموا بتحديث tika-pdf-module فقط دون تحديث tika-core إلى الإصدار 3.2.2 أو أحدث، يظلون عرضة للخطر.
إضافة إلى ذلك، في إصدارات Tika 1.x، كانت PDFParser مدمجة في وحدة “org.apache.tika:tika-parsers”. هذا التفصيل كان غائبًا في التقارير السابقة، مما أدى إلى عدم كفاية التدابير الوقائية السابقة.
من جانبها، تُعرف ثغرات حقن XML الخارجي (XXE) بمخاطرها العالية، حيث تسمح للمهاجمين بالوصول إلى ملفات حساسة على خادم التطبيق، وفي بعض الحالات، قد تمكنهم من تنفيذ تعليمات برمجية عن بعد. وهذا يجعل الثغرة المكتشفة في Apache Tika مصدر قلق أمني كبير.
في ضوء الخطورة القصوى لهذه الثغرة، توصي الجهات الأمنية المستخدمين بتحديث وحدات Apache Tika المتأثرة إلى أحدث الإصدارات المتاحة في أقرب وقت ممكن. يهدف هذا الإجراء إلى تخفيف التهديدات المحتملة وحماية البيانات والأنظمة من أي استغلال ضار.
يُعد هذا التطور بمثابة تذكير دائم بأهمية المتابعة المستمرة لتحديثات الأمان والتطبيق الفوري لها، خاصة في بيئات التطوير التي تعتمد على مكتبات خارجية ومفتوحة المصدر. فمواكبة آخر التحديثات هو خط الدفاع الأول ضد الهجمات السيبرانية المتطورة.