CVE-2026-115729

ŚrednieCVSS 6.8

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

@pdfme/common od wersji 5.5.10 przed 6.2.6 zawiera podatność SSRF pozwalającą obejść denylistę isUrlSafeToFetch w getB64BasePdf. Atakujący mogą podać URL-e basePdf wykorzystujące IPv4-mapped IPv6, [::], NAT64 lub aliasy localhost, aby odczytać odpowiedzi z loopback, zasobów wewnętrznych lub metadanych chmury przez generowane dokumenty.

Ocena ryzyka

Atakujący może odczytać dane z usług wewnętrznych lub metadanych chmury, co może prowadzić do wycieku poufnych informacji.

Rekomendacja

Zaktualizuj @pdfme/common do wersji 6.2.6 lub nowszej. Wdróż dodatkową walidację adresów URL basePdf obejmującą reprezentacje IPv6 i aliasy localhost.

Inne podatności w @pdfme/common

CVE-2026-82866Średnie
@pdfme/common przed wersją 5.5.10 zawiera podatność na server-side request forgery w funkcji getB64BasePdf, która pobiera dowolne URL-e bez walidacji, gdy basePdf jest kontrolowany przez atakującego. Atakujący, którzy kontrolują pole basePdf w szablonie, mogą zmusić serwery lub klientów do wysyłania żądań do wewnętrznych punktów końcowych, umożliwiając eksfiltrację metadanych, rozpoznanie sieci i ataki typu blind request forgery.

Oryginalny opis (angielski, źródło NVD)

@pdfme/common from 5.5.10 before 6.2.6 contains a server-side request forgery vulnerability that allows attackers to bypass the isUrlSafeToFetch denylist in getB64BasePdf. Attackers can supply basePdf URLs using IPv4-mapped IPv6, [::], NAT64 or localhost alias hostnames to read loopback, internal or cloud metadata responses through generated documents.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS