CVE catalog

CVE-2020-14940

tuxguitar: CVE-2020-14940

[CVE catalog]

Severity
High · CVSS 7.5CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Published
Source
[NVD] · [CVE record]
EPSS
3.59% · Oct 25, 2026

An issue was discovered in io/gpx/GPXDocumentReader.java in TuxGuitar 1.5.4. It uses misconfigured XML parsers, leading to XXE while loading GP6 (.gpx) and GP7 (.gp) tablature files.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debiantuxguitarsid2.0.0+dfsg1-3fixed
Debiantuxguitarforky2.0.0+dfsg1-3fixed
Debiantuxguitartrixie1.6.6+dfsg1-3fixed
Debiantuxguitarbookworm1.5.6+dfsg1-6vulnerable
Opensusetuxguitartumbleweed1.6.0-2.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debiantuxguitarsourcesid1.5.6+dfsg1-7not yet assignedNot reported[963626]
Debiantuxguitarsourceforky1.5.6+dfsg1-7not yet assignedNot reported[963626]
Debiantuxguitarsourcetrixie1.5.6+dfsg1-7not yet assignedNot reported[963626]
Debiantuxguitarsourcebookworm(unfixed)not yet assignedNot reported[963626]
Opensusetuxguitarrpmtumbleweed1.6.0-2.1Not reportedOPENSUSE-SU-2024:13324-1Not reported

[Debian bug #963626]

Notes

[bookworm] tuxguitar: Minor issue

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [tuxguitar]Affected
    Details (2)

    • 1.5.6+dfsg1-6 · all · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

    • 1.5.6+dfsg1-6 · all · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

  • [tuxguitar-alsa]Affected

    Source package: [tuxguitar]

    Details (2)

    • 1.5.6+dfsg1-6 · amd64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

    • 1.5.6+dfsg1-6 · arm64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

  • [tuxguitar-fluidsynth]Affected

    Source package: [tuxguitar]

    Details (2)

    • 1.5.6+dfsg1-6 · amd64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

    • 1.5.6+dfsg1-6 · arm64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

  • [tuxguitar-jack]Affected

    Source package: [tuxguitar]

    Details (2)

    • 1.5.6+dfsg1-6 · amd64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

    • 1.5.6+dfsg1-6 · arm64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

  • [tuxguitar-jsa]Affected

    Source package: [tuxguitar]

    Details (2)

    • 1.5.6+dfsg1-6 · all · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

    • 1.5.6+dfsg1-6 · all · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

  • [tuxguitar-oss]Affected

    Source package: [tuxguitar]

    Details (2)

    • 1.5.6+dfsg1-6 · amd64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

    • 1.5.6+dfsg1-6 · arm64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

  • [tuxguitar-synth-lv2]Affected

    Source package: [tuxguitar]

    Details (2)

    • 1.5.6+dfsg1-6 · amd64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

    • 1.5.6+dfsg1-6 · arm64 · bookworm

      Affected

      dsa · tuxguitar · debian · bookworm; dsa · tuxguitar · debian · 12

[Debian 13 (Trixie)]

  • [tuxguitar]Fixed
    Details (2)

    • 1.6.6+dfsg1-3 · all · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

    • 1.6.6+dfsg1-3 · all · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

  • [tuxguitar-alsa]Fixed

    Source package: [tuxguitar]

    Details (2)

    • 1.6.6+dfsg1-3 · amd64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

    • 1.6.6+dfsg1-3 · arm64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

  • [tuxguitar-fluidsynth]Fixed

    Source package: [tuxguitar]

    Details (2)

    • 1.6.6+dfsg1-3 · amd64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

    • 1.6.6+dfsg1-3 · arm64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

  • [tuxguitar-jack]Fixed

    Source package: [tuxguitar]

    Details (2)

    • 1.6.6+dfsg1-3 · amd64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

    • 1.6.6+dfsg1-3 · arm64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

  • [tuxguitar-synth-lv2]Fixed

    Source package: [tuxguitar]

    Details (2)

    • 1.6.6+dfsg1-3 · amd64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

    • 1.6.6+dfsg1-3 · arm64 · trixie

      Fixed · Fixed: 1.5.6+dfsg1-7

      dsa · tuxguitar · debian · 13

[openSUSE Tumbleweed]

  • [tuxguitar]Fixed

    Source package: [tuxguitar]

    Details (1)

    • 2.1.0-1.1 · x86_64 · tumbleweed

      Fixed · Fixed: 1.6.0-2.1

      dsa · tuxguitar · opensuse · tumbleweed

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [SUSE security advisories and VEX]