CVE-2026-114491
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
pdfmake w wersji 0.3.8 przed 0.3.12 nie stosuje ograniczenia setLocalAccessPolicy() do obrazów osadzonych w zawartości SVG, co pozwala atakującemu odczytać zablokowane pliki lokalne. Atakujący dostarczający definicję dokumentu może dodać href obrazu SVG wskazujący na ścieżkę lokalną i osadzić zawartość zastrzeżonego pliku w wygenerowanym PDF.
Ocena ryzyka
Może dojść do wycieku poufnych plików z serwera, jeśli aplikacja generuje PDF na podstawie danych dostarczonych przez użytkownika. Ryzyko dotyczy głównie usług generujących dokumenty z niezaufanych źródeł.
Rekomendacja
Zaktualizuj pdfmake do wersji 0.3.12 lub nowszej. Dodatkowo rozważ walidację i sanityzację definicji dokumentów oraz zawartości SVG pochodzących od użytkowników.
Inne podatności w pdfmake
Zobacz wszystkie- CVE-2026-26801Wysokie
Podatność typu Server-Side Request Forgery (SSRF) w wersjach pdfmake od 0.3.0-beta.2 do 0.3.5 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez komponent src/URLResolver.js.
- CVE-2025-11362Wysokie
Wersje pakietu pdfmake od 0.3.0-beta.1 do przed 0.3.0-beta.17 są podatne na alokację zasobów bez limitów lub ograniczeń poprzez wielokrotne przekierowanie URL w osadzaniu plików. Atakujący może spowodować awarię aplikacji lub jej brak reakcji, dostarczając spreparowane dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
pdfmake 0.3.8 before 0.3.12 fails to apply the setLocalAccessPolicy() restriction to images referenced inside SVG content, allowing attackers to read blocked local files. Attackers supplying a document definition can add an SVG image href pointing to a local path, embedding restricted file contents in the generated PDF.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS