CVE-2026-23907

ŚrednieCVSS 5.3

Opublikowano: 10/03/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.89%

Percentyl 57 - wyżej niż 57% wszystkich znanych CVE

Streszczenie

Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.35 oraz 3.0.0–3.0.6) zawiera podatność typu path traversal (CWE-22). Nazwa pliku uzyskana z metody PDComplexFileSpecification.getFilename() jest bezpośrednio dołączana do ścieżki ekstrakcji, co może umożliwić zapis plików poza oczekiwanym katalogiem.

Ocena ryzyka

Ryzyko nadpisania lub zapisu plików w nieautoryzowanych lokalizacjach, co może prowadzić do naruszenia integralności systemu.

Rekomendacja

Jeśli używasz tego przykładu w kodzie produkcyjnym, sprawdź i dostosuj walidację ścieżek ekstrakcji, najlepiej stosując kanoniczne ścieżki i weryfikację, czy ścieżka ekstrakcji zawiera ścieżkę początkową. Zaktualizuj również PDFBox do najnowszej wersji.

Inne podatności w Apache PDFBox

CVE-2016-2175Wysokie
Apache PDFBox przed wersją 1.8.12 oraz 2.x przed wersją 2.0.1 nieprawidłowo inicjalizuje parsery XML, co umożliwia atakującym zależnym od kontekstu przeprowadzenie ataków typu XML External Entity (XXE) za pomocą spreparowanego pliku PDF.

Oryginalny opis (angielski, źródło NVD)

This issue affects the ExtractEmbeddedFiles example in Apache PDFBox: from 2.0.24 through 2.0.35, from 3.0.0 through 3.0.6. The ExtractEmbeddedFiles example contains a path traversal vulnerability (CWE-22) because the filename that is obtained from PDComplexFileSpecification.getFilename() is appended to the extraction path. Users who have copied this example into their production code should review it to ensure that the extraction path is acceptable. The example has been changed accordingly, now the initial path and the extraction paths are converted into canonical paths and it is verified that extraction path contains the initial path. The documentation has also been adjusted.