一、漏洞详情

XStream是一个Java对象和XML相互转换的工具，可以将Java对象序列化成XML (JSON)或将XML反序列化为对象。

XStream官方发布安全公告，修复了XStream中的一个拒绝服务漏洞（CVE-2022-41966）。XStream版本1.4.20之前，可以通过注入递归集合或基于元素的哈希值映射来引起堆栈溢出，从而导致拒绝服务。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

XStream 版本 < 1.4.20

三、修复建议

目前该漏洞已经修复，受影响用户可升级到XStream 1.4.20或更高版本。

下载链接：https://x-stream.github.io/download.html