🛡️ Stack — Infrastruktur

🔺 Apache Tika

Apache Tika 3.3.0 (deployed) bleibt aktuell letzte Stable der 3.x-Reihe — KEIN 3.3.1 oder 3.4.0. Im Mai 2026 **4.0.0-alpha-1 als Preview** veröffentlicht — explizit nicht für Produktion. 4.0 bringt drastische Breaking Changes: XML → JSON-Konfiguration, tika-pipes als pf4j-Plugins, Wegfall mehrerer Module. **CVE-2025-66516** (XXE via XFA/PDF) Ende 2025 mit erweitertem Scope nachveröffentlicht — NIST stuft als **CVSS 9.8 Critical** ein, betroffen 1.13-3.2.1, **3.3.0 ist nicht betroffen** (Fix in 3.2.2). Kurzfristig kein Handlungsbedarf, mittelfristig 4.0-Migration evaluieren.

Extrahiert Text/Metadaten aus 1000+ Dateiformaten, im razzfazz.ai Stack für RAG/Document-Parsing (Tika 3.3.0.0-full). Schlüsselkomponente für LightRAG, Onyx und Open WebUI Document-Uploads. Tika 1.x EOL: 26.01.2026.

2 News · Letzte: 2026-05-04 📡 RSS

News-Verlauf

04.05.2026 ·Apache Tika CHANGES·erfasst 22.05.2026

Apache Tika 4.0.0-alpha-1 — Preview mit massiven Breaking Changes

Preview-Release der 4.x-Linie (Pre-release/Alpha, NICHT für Produktion). XML → JSON-Konfiguration (TIKA-4544). tika-pipes komplett refactored: Implementierungsmodule nach Ressource (tika-pipes-solr) vs Task (tika-pipes-fetcher-solr) getrennt, File-System-Komponenten in eigenes pf4j-Modul ausgelagert, alle pipes-Implementierungen als pf4j-Plugins. MetadataListFilter zu MetadataFilter umbenannt, alter MetadataFilter entfernt. Mehrere Module entfernt: tika-batch, snaps, dotnet, advanced media, tika-dl, tika-fuzzing. HTML-Metadata mit Prefix 'html:', MAPI-Prefix 'mapi:'. DigestingParser und legacy ExternalParser entfernt. tika-parsers-standard-package POM statt JAR.

Für razzfazz.ai Box mittelfristig relevant — 4.0 Stable wird signifikante Anpassungen am Docker-Image-Build und Konfiguration erfordern. Migration rechtzeitig evaluieren, Alpha jetzt NICHT deployen. Beobachten bis 4.0.0 stable.

04.12.2025 ·NVD/NIST·erfasst 22.05.2026

CVE-2025-66516 erweitert — XXE in tika-core mit CVSS 9.8 (Critical) nachveröffentlicht

ASF hat CVE-2025-66516 als Erweiterung der ursprünglichen CVE-2025-54988 (Aug 2025) veröffentlicht. XML External Entity (XXE) Injection via crafted XFA content in PDFs. Originale CVE auf PDF-Modul beschränkt — Nachveröffentlichung stellt klar dass Fehler in tika-core sitzt: Nutzer die nur tika-parser-pdf-module aber nicht tika-core auf ≥3.2.2 aktualisiert haben bleiben verwundbar. NIST: CVSS 9.8 Critical (Network), ASF: 8.4 High (Local). Betroffen: tika-core 1.13-3.2.1, tika-pdf-module 2.0.0-3.2.1, tika-parsers 1.13-1.28.5. Fix ab 3.2.2 in tika-core. Reporters: Paras Jain & Yakov Shafranovich (Amazon). Exploit: präpariertes PDF mit XFA-Forms triggert externe Entity-Resolution → sensible Datei-Disclosure oder outbound network.

KEIN Handlungsbedarf — deployed 3.3.0 bereits gefixt (Fix in 3.2.2). WICHTIG: bei partial-update immer tika-core mit upgraden, nicht nur PDF-Modul. Für ISO27001-Audit relevant — sauberer Nachweis dass deployed Version nicht betroffen.

← zurück zum Dashboard