CVE-2025-14415
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w Soda PDF Desktop pozwala zdalnym atakującym na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Luka wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu w akcji Launch. Wymagana jest interakcja użytkownika, np. odwiedzenie złośliwej strony lub otwarcie złośliwego pliku.
Ocena ryzyka
Otwarcie złośliwego dokumentu może doprowadzić do wykonania kodu i przejęcia uprawnień użytkownika. Stanowi to ryzyko dla organizacji, w których użytkownicy otwierają pliki z niezaufanych źródeł.
Rekomendacja
Zaktualizuj Soda PDF Desktop do wersji zawierającej poprawkę i ogranicz otwieranie plików z niezaufanych źródeł. Rozważ wyłączenie lub ograniczenie akcji Launch w konfiguracji aplikacji.
Inne podatności w Soda PDF Desktop
Zobacz wszystkie- CVE-2025-14414Wysokie
Podatność w Soda PDF Desktop pozwala na zdalne wykonanie kodu podczas obsługi plików Word. Problem wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu. Wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub odwiedzenie strony).
- CVE-2025-14413Wysokie
Podatność w Soda PDF Desktop podczas parsowania plików CBZ polega na braku walidacji ścieżki dostarczonej przez użytkownika, co umożliwia traversal katalogów. Wymaga interakcji użytkownika (otwarcie złośliwego pliku lub strony). Może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika.
- CVE-2025-14412Wysokie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku ostrzeżenia przed uruchomieniem niebezpiecznego skryptu podczas obsługi plików XLS.
- CVE-2025-14411Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14410Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14409Wysokie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku odpowiedniej walidacji danych dostarczonych przez użytkownika podczas parsowania plików PDF, co prowadzi do zapisu poza granicami bufora.
- CVE-2025-14408Niskie
Podatność w Soda PDF Desktop podczas parsowania plików PDF pozwala na odczyt poza granicami bufora i ujawnienie informacji. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku). Może być wykorzystana w połączeniu z innymi podatnościami do wykonania kodu.
- CVE-2025-14407Średnie
W Soda PDF Desktop występuje luka memory corruption podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14406Wysokie
Soda PDF Desktop zawiera podatność lokalnego podniesienia uprawnień związaną z niekontrolowanym elementem ścieżki wyszukiwania. Aplikacja ładuje plik konfiguracyjny OpenSSL z niezabezpieczonej lokalizacji, co pozwala atakującemu z niskimi uprawnieniami na wykonanie dowolnego kodu w kontekście SYSTEM.
Oryginalny opis (angielski, źródło NVD)
Soda PDF Desktop Launch Insufficient UI Warning Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Soda PDF Desktop. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the implementation of the Launch action. The issue results from allowing the execution of dangerous script without user warning. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-27494.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS