CVE-2025-11362
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wersje pakietu pdfmake od 0.3.0-beta.1 do przed 0.3.0-beta.17 są podatne na alokację zasobów bez limitów lub ograniczeń poprzez wielokrotne przekierowanie URL w osadzaniu plików. Atakujący może spowodować awarię aplikacji lub jej brak reakcji, dostarczając spreparowane dane wejściowe.
Ocena ryzyka
Ryzyko awarii aplikacji lub jej braku reakcji (DoS) poprzez wykorzystanie podatności, co może prowadzić do przerwania usług.
Rekomendacja
Zaleca się uaktualnienie pakietu pdfmake do wersji 0.3.0-beta.17 lub nowszej, która naprawia tę podatność.
Inne podatności w pdfmake
Zobacz wszystkie- CVE-2026-26801Wysokie
Podatność typu Server-Side Request Forgery (SSRF) w wersjach pdfmake od 0.3.0-beta.2 do 0.3.5 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez komponent src/URLResolver.js.
- CVE-2026-114491Średnie
pdfmake w wersji 0.3.8 przed 0.3.12 nie stosuje ograniczenia setLocalAccessPolicy() do obrazów osadzonych w zawartości SVG, co pozwala atakującemu odczytać zablokowane pliki lokalne. Atakujący dostarczający definicję dokumentu może dodać href obrazu SVG wskazujący na ścieżkę lokalną i osadzić zawartość zastrzeżonego pliku w wygenerowanym PDF.
Oryginalny opis (angielski, źródło NVD)
Versions of the package pdfmake from 0.3.0-beta.1 and before 0.3.0-beta.17 are vulnerable to Allocation of Resources Without Limits or Throttling via repeatedly redirect URL in file embedding. An attacker can cause the application to crash or become unresponsive by providing crafted input that triggers this condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS