CVE-2025-55313
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Foxit PDF i Editor dla Windows i macOS przed wersją 13.2 oraz 2025 przed 2025.2 występuje luka umożliwiająca potencjalne wykonanie dowolnego kodu podczas przetwarzania spreparowanych plików PDF. Problem wynika z niewystarczającej obsługi błędów alokacji pamięci po przypisaniu bardzo dużej wartości do właściwości charLimit pola formularza przez JavaScript, co może prowadzić do uszkodzenia pamięci. Atakujący może wykorzystać lukę, nakłaniając użytkownika do otwarcia złośliwego pliku.
Ocena ryzyka
Udane wykorzystanie luki może pozwolić atakującemu na wykonanie dowolnego kodu w kontekście użytkownika otwierającego plik PDF, co może skutkować przejęciem systemu lub kradzieżą danych. Ryzyko jest szczególnie istotne w organizacjach, w których pracownicy regularnie otwierają dokumenty PDF z zewnętrznych źródeł.
Rekomendacja
Zaktualizuj Foxit PDF i Editor do wersji 13.2 lub 2025.2 (lub nowszej). Dodatkowo zaleca się szkolenie użytkowników w zakresie ostrożnego otwierania plików PDF pochodzących z niezaufanych źródeł.
Inne podatności w Foxit PDF and Editor
Zobacz wszystkie- CVE-2025-55314Wysokie
W Foxit PDF i Editor dla Windows i macOS w wersjach przed 13.2 oraz 2025 przed 2025.2 występuje problem, w którym usuwanie stron PDF przez JavaScript może nie aktualizować poprawnie stanów wewnętrznych. Kolejne operacje na adnotacjach zakładają ważność tych stanów, co prowadzi do dereferencji nieprawidłowej lub zwolnionej pamięci, mogąc powodować uszkodzenie pamięci, awarie i potencjalnie wykonanie dowolnego kodu.
- CVE-2025-55309Średnie
W Foxit PDF i Editor dla Windows oraz macOS w wersjach przed 13.2 i 2025 przed 2025.2 wykryto podatność use-after-free. Spreparowany plik PDF może zawierać JavaScript, który przypisuje akcję OnBlur do pola formularza niszczącą adnotację, co podczas interakcji prawym przyciskiem myszy powoduje przedwczesne zwolnienie obiektu adnotacji i może prowadzić do uszkodzenia pamięci lub awarii aplikacji.
- CVE-2025-55308Średnie
W Foxit PDF i Editor dla Windows w wersjach przed 13.2 i 2025 przed 2025.2 wykryto podatność use-after-free. Spreparowany plik PDF zawierający JavaScript wywołujący closeDoc() w momencie, gdy obiekty wewnętrzne są wciąż używane, powoduje ich przedwczesne zwolnienie, co może prowadzić do uszkodzenia pamięci i potencjalnego ujawnienia informacji przy otwieraniu pliku PDF.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Foxit PDF and Editor for Windows and macOS before 13.2 and 2025 before 2025.2. They allow potential arbitrary code execution when processing crafted PDF files. The vulnerability stems from insufficient handling of memory allocation failures after assigning an extremely large value to a form field's charLimit property via JavaScript. This can result in memory corruption and may allow an attacker to execute arbitrary code by persuading a user to open a malicious file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS