CVE-2025-55314
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W Foxit PDF i Editor dla Windows i macOS w wersjach przed 13.2 oraz 2025 przed 2025.2 występuje problem, w którym usuwanie stron PDF przez JavaScript może nie aktualizować poprawnie stanów wewnętrznych. Kolejne operacje na adnotacjach zakładają ważność tych stanów, co prowadzi do dereferencji nieprawidłowej lub zwolnionej pamięci, mogąc powodować uszkodzenie pamięci, awarie i potencjalnie wykonanie dowolnego kodu.
Ocena ryzyka
Atakujący może wykorzystać spreparowany plik PDF do wywołania uszkodzenia pamięci i potencjalnego wykonania dowolnego kodu w kontekście użytkownika. Może to skutkować przejęciem systemu lub kradzieżą danych.
Rekomendacja
Zaktualizuj Foxit PDF i Editor do wersji 13.2 lub 2025.2 (lub nowszej) oraz zachowaj ostrożność przy otwieraniu niezaufanych plików PDF.
Inne podatności w Foxit PDF and Editor
Zobacz wszystkie- CVE-2025-55313Wysokie
W Foxit PDF i Editor dla Windows i macOS przed wersją 13.2 oraz 2025 przed 2025.2 występuje luka umożliwiająca potencjalne wykonanie dowolnego kodu podczas przetwarzania spreparowanych plików PDF. Problem wynika z niewystarczającej obsługi błędów alokacji pamięci po przypisaniu bardzo dużej wartości do właściwości charLimit pola formularza przez JavaScript, co może prowadzić do uszkodzenia pamięci. Atakujący może wykorzystać lukę, nakłaniając użytkownika do otwarcia złośliwego pliku.
- CVE-2025-55309Średnie
W Foxit PDF i Editor dla Windows oraz macOS w wersjach przed 13.2 i 2025 przed 2025.2 wykryto podatność use-after-free. Spreparowany plik PDF może zawierać JavaScript, który przypisuje akcję OnBlur do pola formularza niszczącą adnotację, co podczas interakcji prawym przyciskiem myszy powoduje przedwczesne zwolnienie obiektu adnotacji i może prowadzić do uszkodzenia pamięci lub awarii aplikacji.
- CVE-2025-55308Średnie
W Foxit PDF i Editor dla Windows w wersjach przed 13.2 i 2025 przed 2025.2 wykryto podatność use-after-free. Spreparowany plik PDF zawierający JavaScript wywołujący closeDoc() w momencie, gdy obiekty wewnętrzne są wciąż używane, powoduje ich przedwczesne zwolnienie, co może prowadzić do uszkodzenia pamięci i potencjalnego ujawnienia informacji przy otwieraniu pliku PDF.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Foxit PDF and Editor for Windows and macOS before 13.2 and 2025 before 2025.2. When pages in a PDF are deleted via JavaScript, the application may fail to properly update internal states. Subsequent annotation management operations assume these states are valid, causing dereference of invalid or released memory. This can lead to memory corruption, application crashes, and potentially allow an attacker to execute arbitrary code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS