CVE-2025-11849
CriticalSummary
Wersje pakietu mammoth od 0.3.25 do przed 1.11.0 są podatne na atak typu Directory Traversal z powodu braku walidacji ścieżek lub typów plików podczas przetwarzania pliku docx zawierającego obraz z zewnętrznym linkiem. Atakujący może odczytać dowolne pliki na systemie, w którym odbywa się konwersja, lub spowodować nadmierne zużycie zasobów.
Risk Assessment
Organizacja może być narażona na nieautoryzowany dostęp do poufnych danych oraz na ataki mające na celu wyczerpanie zasobów systemowych. To może prowadzić do przestojów lub utraty danych.
Recommendation
Zaleca się aktualizację pakietu mammoth do wersji 1.11.0 lub nowszej, aby usunąć tę podatność. Dodatkowo warto wprowadzić dodatkowe mechanizmy zabezpieczające, takie jak walidacja plików przed ich przetwarzaniem.
Original NVD description (English source)
Versions of the package mammoth from 0.3.25 and before 1.11.0; versions of the package mammoth from 0.3.25 and before 1.11.0; versions of the package mammoth before 1.11.0; versions of the package org.zwobble.mammoth:mammoth before 1.11.0 are vulnerable to Directory Traversal due to the lack of path or file type validation when processing a docx file containing an image with an external link (r:link attribute instead of embedded r:embed). The library resolves the URI to a file path and after reading, the content is encoded as base64 and included in the HTML output as a data URI. An attacker can read arbitrary files on the system where the conversion is performed or cause an excessive resources consumption by crafting a docx file that links to special device files such as /dev/random or /dev/zero.