CVE-2026-16766
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 68 - wyżej niż 68% wszystkich znanych CVE
Streszczenie
W bibliotece Catalyst::View::Wkhtmltopdf dla Perla w wersjach przed 0.6.1 wykryto podatność na wstrzykiwanie poleceń powłoki (RCE) poprzez opcje renderowania PDF. Opcje przekazywane są bezpośrednio do polecenia wkhtmltopdf bez sanityzacji, co pozwala atakującemu na wykonanie dowolnych poleceń.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu (RCE) przez atakującego, który może kontrolować opcje takie jak page_size, orientation czy margins, co może prowadzić do pełnego przejęcia serwera.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.6.1 lub nowszej. Ponieważ projekt wkhtmltopdf nie jest już rozwijany, należy rozważyć migrację do alternatywnych rozwiązań.
Oryginalny opis (angielski, źródło NVD)
Catalyst::View::Wkhtmltopdf versions before 0.6.1 for Perl allow shell command injection (RCE) via PDF render options. Options are passed directly to the wkhtmltopdf command without sanitization. Any web application that passes user-controlled options such as the page_size, orientation or margins without validation allows shell command injection. Version 0.6.0 was released with an incomplete fix for this issue. Note that the wkhtmltopdf project is no longer being developed, and users of this package should migrate to alternative solutions.