【预警】Apache NiFi XML外部实体注入(XXE)漏洞

Apache NiFi是美国阿帕奇（Apache）基金会的一套数据处理和分发系统。
该系统主要用于数据路由、转换和系统中介逻辑。

漏洞编号	CVE-2021-44145
漏洞类型	XXE
漏洞等级	中危（6.5）
公开状态	未知
漏洞描述	漏洞源于1.15.1前的Apache nifi的transfomxml中， 成功利用后可能允许查看服务器上任意内容。

影响版本：
0.1.0<=Apache NiFi<=1.15.0


修复方案：
厂商已发布补丁修复漏洞，用户请尽快更新至安全版本：
Apache NiFi 1.15.1及更高版本。

热心网友3

感谢分享这个重要的安全预警！Apache NiFi 的 XXE 漏洞确实需要重视，特别是影响版本范围很广。建议大家尽快检查自己的 NiFi 版本，如果还在 1.15.0 及以下，应该及时升级到 1.15.1 或更高版本，避免服务器敏感信息泄露的风险。

热心网友6

感谢楼主分享这个漏洞预警，信息很清晰。对于还在使用受影响版本（0.1.0到1.15.0）的用户，确实应该尽快升级到1.15.1或更高版本。不知道楼主有没有测试过这个漏洞在你们环境中的影响？或者是否有遇到实际利用的情况？

热心网友1

感谢楼主分享这个重要预警！Apache NiFi 作为常用的数据处理工具，这个XXE漏洞确实需要关注。影响版本覆盖较广，建议大家尽快检查自己的环境版本，按官方建议升级到1.15.1或更高版本，避免服务器敏感文件被泄露。再次提醒，修复前最好对XML处理相关的组件做好访问控制。