
<html><head></head><body><div class="yahoo-style-wrap" style="font-family:Helvetica Neue, Helvetica, Arial, sans-serif;font-size:16px;"><div>Hi,</div><div><p class="ydpf1e2d2ccMsoNormal" style="color: rgb(0, 0, 0); font-family: sans-serif; font-size: 12.8px;">We are using opensaml-2.x jar in our application for SAML integration. After running a security scan, we found that a vulnerability (CVE-2019-9628) was detected in xmltooling jar, which is a dependent jar of opensaml jar. The Vulnerability Details provided by the tool :<u></u><u></u></p><p class="ydpf1e2d2ccMsoNormal" style="color: rgb(0, 0, 0); font-family: sans-serif; font-size: 12.8px;">The XMLTooling library all versions prior to V3.0.4, provided with the OpenSAML and Shibboleth Service Provider software, contains an XML parsing class. Invalid data in the XML declaration causes an exception of a type that was not handled properly in the parser class and propagates an unexpected exception type.<u></u><u></u></p><p class="ydpf1e2d2ccMsoNormal" style="color: rgb(0, 0, 0); font-family: sans-serif; font-size: 12.8px;">I have searched for xmltooling v3.0.4 in maven repository and the sibboleth (<a href="http://shibboleth.net/downloads/" data-saferedirecturl="https://www.google.com/url?q=http://shibboleth.net/downloads/&source=gmail&ust=1694859357825000&usg=AOvVaw2Tu9WyvN56gBjrtfIVwmBT" style="color: rgb(66, 133, 244);" rel="nofollow" target="_blank">http://shibboleth.net/downloads/</a>) websites, but couldn't find the java version of the jar. Could you please confirm if the java version of xmltooling v3.0.4 jar file was released or not.<u></u><u></u></p><p class="ydpf1e2d2ccMsoNormal" style="color: rgb(0, 0, 0); font-family: sans-serif; font-size: 12.8px;"><u></u> <u></u></p><p class="ydpf1e2d2ccMsoNormal" style="color: rgb(0, 0, 0); font-family: sans-serif; font-size: 12.8px;">Thanks,</p><p class="ydpf1e2d2ccMsoNormal" style="color: rgb(0, 0, 0); font-family: sans-serif; font-size: 12.8px;">Mounika</p></div></div></body></html>