从截图中可以获取以下关于漏洞的关键信息： ### 漏洞描述 - **漏洞类型**: 反序列化漏洞 (Deserialization vulnerability) - **受影响的类**: `cn.hutool.core.util.XmlUtil#readObjectFromXml` - **具体问题**: 当使用 `XmlUtil.readObjectFromXml` 解析不受信任的XML字符串时，存在远程代码执行 (RCE) 风险。 ### 详细信息 - **函数调用**: - `public static T readObjectFromXml(String xmlStr)` - `public static T readObjectFromXml(InputSource source)` - **代码示例**: ```java xmldec = new XMLDecoder(source); result = xmldec.readObject(); ``` - **漏洞原因**: 使用 `XMLDecoder` 解析XML字符串时，可能执行恶意构造的XML内容，导致远程代码执行。 ### 攻击示例 - **恶意XML示例**: ```xml calc ``` ### 其他信息 - **发现日期**: 2023年1月13日 - **状态**: 已关闭，标记为完成 - **标签**: question - **相关链接**: [另一个平台上的issue](https://gitee.com/dromara/hutool/issues/I6AEX2)