CVE-2025-14414
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w Soda PDF Desktop pozwala na zdalne wykonanie kodu podczas obsługi plików Word. Problem wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu. Wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub odwiedzenie strony).
Ocena ryzyka
Atakujący może wykonać dowolny kod w kontekście zalogowanego użytkownika, co może prowadzić do przejęcia systemu lub kradzieży danych. Ryzyko dotyczy organizacji, których pracownicy używają Soda PDF Desktop do otwierania plików Word.
Rekomendacja
Zaktualizuj Soda PDF Desktop do najnowszej wersji, która naprawia tę podatność. Dodatkowo zaleca się szkolenie użytkowników w zakresie ostrożnego otwierania plików z nieznanych źródeł.
Inne podatności w Soda PDF Desktop
Zobacz wszystkie- CVE-2025-14415Wysokie
Podatność w Soda PDF Desktop pozwala zdalnym atakującym na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Luka wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu w akcji Launch. Wymagana jest interakcja użytkownika, np. odwiedzenie złośliwej strony lub otwarcie złośliwego pliku.
- CVE-2025-14413Wysokie
Podatność w Soda PDF Desktop podczas parsowania plików CBZ polega na braku walidacji ścieżki dostarczonej przez użytkownika, co umożliwia traversal katalogów. Wymaga interakcji użytkownika (otwarcie złośliwego pliku lub strony). Może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika.
- CVE-2025-14412Wysokie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku ostrzeżenia przed uruchomieniem niebezpiecznego skryptu podczas obsługi plików XLS.
- CVE-2025-14411Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14410Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14409Wysokie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku odpowiedniej walidacji danych dostarczonych przez użytkownika podczas parsowania plików PDF, co prowadzi do zapisu poza granicami bufora.
- CVE-2025-14408Niskie
Podatność w Soda PDF Desktop podczas parsowania plików PDF pozwala na odczyt poza granicami bufora i ujawnienie informacji. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku). Może być wykorzystana w połączeniu z innymi podatnościami do wykonania kodu.
- CVE-2025-14407Średnie
W Soda PDF Desktop występuje luka memory corruption podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14406Wysokie
Soda PDF Desktop zawiera podatność lokalnego podniesienia uprawnień związaną z niekontrolowanym elementem ścieżki wyszukiwania. Aplikacja ładuje plik konfiguracyjny OpenSSL z niezabezpieczonej lokalizacji, co pozwala atakującemu z niskimi uprawnieniami na wykonanie dowolnego kodu w kontekście SYSTEM.
Oryginalny opis (angielski, źródło NVD)
Soda PDF Desktop Word File Insufficient UI Warning Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Soda PDF Desktop. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the handling of Word files. The issue results from allowing the execution of dangerous script without user warning. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-27496.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS