CVE-2025-14409
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku odpowiedniej walidacji danych dostarczonych przez użytkownika podczas parsowania plików PDF, co prowadzi do zapisu poza granicami bufora.
Ocena ryzyka
Użytkownik otwierający złośliwy plik PDF lub stronę może doprowadzić do wykonania kodu w kontekście jego uprawnień, co może skutkować kompromitacją systemu.
Rekomendacja
Zaktualizuj Soda PDF Desktop do najnowszej wersji, która naprawia tę podatność, i zachowaj ostrożność przy otwieraniu nieznanych plików PDF.
Inne podatności w Soda PDF Desktop
Zobacz wszystkie- CVE-2025-14415Wysokie
Podatność w Soda PDF Desktop pozwala zdalnym atakującym na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Luka wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu w akcji Launch. Wymagana jest interakcja użytkownika, np. odwiedzenie złośliwej strony lub otwarcie złośliwego pliku.
- CVE-2025-14414Wysokie
Podatność w Soda PDF Desktop pozwala na zdalne wykonanie kodu podczas obsługi plików Word. Problem wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu. Wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub odwiedzenie strony).
- CVE-2025-14413Wysokie
Podatność w Soda PDF Desktop podczas parsowania plików CBZ polega na braku walidacji ścieżki dostarczonej przez użytkownika, co umożliwia traversal katalogów. Wymaga interakcji użytkownika (otwarcie złośliwego pliku lub strony). Może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika.
- CVE-2025-14412Wysokie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku ostrzeżenia przed uruchomieniem niebezpiecznego skryptu podczas obsługi plików XLS.
- CVE-2025-14411Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14410Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14408Niskie
Podatność w Soda PDF Desktop podczas parsowania plików PDF pozwala na odczyt poza granicami bufora i ujawnienie informacji. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku). Może być wykorzystana w połączeniu z innymi podatnościami do wykonania kodu.
- CVE-2025-14407Średnie
W Soda PDF Desktop występuje luka memory corruption podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14406Wysokie
Soda PDF Desktop zawiera podatność lokalnego podniesienia uprawnień związaną z niekontrolowanym elementem ścieżki wyszukiwania. Aplikacja ładuje plik konfiguracyjny OpenSSL z niezabezpieczonej lokalizacji, co pozwala atakującemu z niskimi uprawnieniami na wykonanie dowolnego kodu w kontekście SYSTEM.
Oryginalny opis (angielski, źródło NVD)
Soda PDF Desktop PDF File Parsing Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Soda PDF Desktop. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of PDF files. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-27120.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS