CVE-2026-54078
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność XML External Entity (XXE) w veraPDF-validation występuje w metodzie getRichTextStringOrStreamEntryStringRepresentation() w pliku DictionaryKeysHelper.java. Złośliwy plik PDF z zainfekowanym wpisem rich-text /RC lub /RV może spowodować rozwijanie zewnętrznych encji i odzwierciedlenie zawartości lokalnych plików w raporcie walidacji.
Ocena ryzyka
Atakujący może odczytać poufne dane z serwera poprzez wstrzyknięcie encji XML, co narusza poufność informacji.
Rekomendacja
Zaktualizuj veraPDF-validation do wersji 1.30.2 lub 1.31.71, które usuwają tę podatność XXE.
Inne podatności w veraPDF-validation
Zobacz wszystkie- CVE-2026-54082Średnie
Podatność XML External Entity (XXE) w bibliotece veraPDF-validation umożliwia atakującemu wczytanie lokalnych plików oraz wysyłanie żądań sieciowych poprzez spreparowany plik PDF zawierający złośliwe adnotacje rich-text, wartości pól formularzy lub konfiguracje XFA.
- CVE-2026-54079Wysokie
Podatność XML External Entity (XXE) w bibliotece veraPDF-validation występuje w metodzie getdynamicRender() w pliku GFPDAcroForm.java. Złośliwy plik PDF z zainfekowanym strumieniem XFA może spowodować rozwijanie zewnętrznych encji podczas walidacji PDF/UA-1, co prowadzi do ujawnienia lokalnych plików lub wysyłania żądań na zewnętrzne serwery.
Oryginalny opis (angielski, źródło NVD)
veraPDF validation model is an implementation of the veraPDF validation model. From 1.25.73 until 1.30.2 and 1.31.71, veraPDF-validation contains an XML External Entity (XXE) vulnerability in validation-model/src/main/java/org/verapdf/gf/model/tools/DictionaryKeysHelper.java in getRichTextStringOrStreamEntryStringRepresentation(), where a crafted PDF containing a malicious rich-text /RC or /RV entry can cause external entity expansion and reflect local file contents into the validation report. This issue is fixed in versions 1.30.2 and 1.31.71.