CVE-2026-26801

Wysokie

Opublikowano: 10/03/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Podatność typu Server-Side Request Forgery (SSRF) w wersjach pdfmake od 0.3.0-beta.2 do 0.3.5 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez komponent src/URLResolver.js.

Ocena ryzyka

Organizacje mogą być narażone na wyciek danych, jeśli nie zastosują odpowiednich zasad dostępu do URL w aplikacjach korzystających z pdfmake.

Rekomendacja

Zaleca się aktualizację do wersji 0.3.6 lub nowszej oraz skonfigurowanie zasad dostępu do URL za pomocą metody setUrlAccessPolicy().

Inne podatności w pdfmake

CVE-2025-11362Wysokie
Wersje pakietu pdfmake od 0.3.0-beta.1 do przed 0.3.0-beta.17 są podatne na alokację zasobów bez limitów lub ograniczeń poprzez wielokrotne przekierowanie URL w osadzaniu plików. Atakujący może spowodować awarię aplikacji lub jej brak reakcji, dostarczając spreparowane dane wejściowe.

Oryginalny opis (angielski, źródło NVD)

Server-Side Request Forgery (SSRF) vulnerability in pdfmake versions 0.3.0-beta.2 through 0.3.5 allows a remote attacker to obtain sensitive information via the src/URLResolver.js component. The fix was released in version 0.3.6 which introduces the setUrlAccessPolicy() method allowing server operators to define URL access rules. A warning is now logged when pdfmake is used server-side without a policy configured.