漏洞概述 该漏洞涉及在解析XMP元数据时，由于 库的默认限制被绕过，导致可能引发高内存使用的问题。具体表现为二次实体扩展（quadratic entity expansion），这是一种常见的XML外部实体攻击方式。 影响范围 受影响组件： 库中的 文件。 具体影响：当解析包含恶意构造的XMP元数据时，可能导致应用程序消耗大量内存，进而影响系统性能或导致拒绝服务（DoS）。 修复方案 1. 禁用自定义XML实体声明：在 文件中，通过自定义 类来禁用所有实体声明。 2. 使用 库：虽然 已经处理了更严重的情况，但为了进一步防止高内存使用，决定完全禁用实体声明。 3. 代码修改： - 在 中，新增 类，继承自 ，并重写 方法，以禁止实体声明。 - 修改 类的 方法，使用新的 类进行解析。 POC代码 以下是修复前后的关键代码对比： 修复前 修复后 测试用例 以上代码展示了如何通过自定义解析器来防止XML外部实体攻击，确保系统的安全性。