CVE Catalog
CVE-2021-43113
CriticalSummary
iTextPDF w wersji 7 oraz do (wyłączając 4.4.13.3) 7.1.17 umożliwia wstrzyknięcie poleceń poprzez nazwę pliku CompareTool, która jest niewłaściwie obsługiwana w linii poleceń gs (Ghostscript) w pliku GhostscriptHelper.java.
Risk Assessment
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych poleceń na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa systemu.
Recommendation
Zaleca się aktualizację iTextPDF do najnowszej wersji, aby usunąć tę podatność oraz przeglądanie i monitorowanie użycia CompareTool w aplikacjach korzystających z iText.
Original NVD description (English source)
iTextPDF in iText 7 and up to (excluding 4.4.13.3) 7.1.17 allows command injection via a CompareTool filename that is mishandled on the gs (aka Ghostscript) command line in GhostscriptHelper.java.