Katalog CVE
CVE-2021-43113
KrytyczneStreszczenie
iTextPDF w wersji 7 oraz do (wyłączając 4.4.13.3) 7.1.17 umożliwia wstrzyknięcie poleceń poprzez nazwę pliku CompareTool, która jest niewłaściwie obsługiwana w linii poleceń gs (Ghostscript) w pliku GhostscriptHelper.java.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych poleceń na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację iTextPDF do najnowszej wersji, aby usunąć tę podatność oraz przeglądanie i monitorowanie użycia CompareTool w aplikacjach korzystających z iText.
Oryginalny opis (angielski, źródło NVD)
iTextPDF in iText 7 and up to (excluding 4.4.13.3) 7.1.17 allows command injection via a CompareTool filename that is mishandled on the gs (aka Ghostscript) command line in GhostscriptHelper.java.