关键漏洞信息 漏洞名称 Improper XXE Restriction 影响版本 io.qameta.allure.plugins:junit-xml-plugin (Maven) < 2.34.0 io.qameta.allure.plugins:trx-plugin (Maven) < 2.34.0 io.qameta.allure.plugins:xunit-xml-plugin (Maven) < 2.34.0 修复版本 2.34.1 漏洞描述 存在一个关键的XML外部实体（XXE）漏洞，影响Allure 2使用的xunit-xml-plugin。该插件未能正确配置XML解析器（DocumentBuilderFactory），允许在处理测试结果.xml文件时进行外部实体扩展。 漏洞详情 在 中，应用程序使用了DocumentBuilderFactory，但未禁用DTDs或外部实体。通过生成带有恶意XML文件的报告，攻击者可以利用XXE漏洞进行SSRF或读取系统文件。 PoC 创建一个名为 的文件夹，并在其中创建一个恶意XML文件。 将恶意XML文件放入之前创建的 目录中。 运行命令 和 来查看和确认执行的payload。 影响 此XXE漏洞可能导致任意文件披露和服务器端请求伪造（SSRF）。这种利用可以在没有用户交互的情况下进行，如果工具在应用程序内自动化运行，则可能未被检测到。这使得它在CI/CD平台中运行时具有特别高的风险。