CVE-2026-63630
NiskieCVSS 3.4Streszczenie
BentoPDF to samodzielnie hostowany zestaw narzędzi PDF działający po stronie klienta. W wersji 2.8.6 i wcześniejszych funkcja deserializeWorkflow() przyjmuje kontrolę tsaUrl węzła Timestamp z importowanego JSON bez walidacji schematu i miejsca docelowego. Gdy użytkownik zaimportuje spreparowany workflow i uruchomi go na pliku PDF, funkcja timestampPdf() wysyła żądanie RFC 3161 TimeStampReq zawierające skrót SHA-256 dokumentu do punktu końcowego wybranego przez atakującego. Domyślna konfiguracja samodzielnego hostowania nie ustawia VITE_CORS_PROXY_URL, więc żądanie omija kontrole ALLOWED_TSA_HOSTS proxy i jest wysyłane bezpośrednio. Ujawniony skrót może potwierdzić, że dokument odpowiada znanemu plikowi, oraz skorelować ten sam dokument między użytkownikami bez ujawniania jego treści. Podatność naprawiono w wersji 2.8.7.
Ocena ryzyka
Atakujący może potwierdzić tożsamość dokumentu na podstawie jego skrótu oraz skorelować ten sam dokument między różnymi użytkownikami, co stanowi naruszenie poufności metadanych. Nie ujawnia to bezpośrednio treści dokumentu, ale może posłużyć do wnioskowania o jego zawartości.
Rekomendacja
Zaktualizuj BentoPDF do wersji 2.8.7 lub nowszej, a jeśli to niemożliwe, ustaw VITE_CORS_PROXY_URL i skonfiguruj ALLOWED_TSA_HOSTS, aby wymusić walidację docelowych serwerów TSA.
Inne podatności w BentoPDF
Zobacz wszystkie- CVE-2026-77581Wysokie
BentoPDF w wersji 2.8.6 i wcześniejszych ma podatność w proxy CORS dla certyfikatów i znaczników czasu w cloudflare/cors-proxy-worker.js, które używa isPrivateOrReservedHost() do walidacji nazwy hosta oddzielnie od rozwiązywania DNS używanego przez fetch(targetUrl), co pozwala na rozwiązanie nazwy hosta do wewnętrznego lub zastrzeżonego miejsca po walidacji. Ścieżka podobna do certyfikatu może spełnić ALLOWED_PATH_PATTERNS, a bezpośredni klienci mogą sfałszować nagłówek Origin. Wdrożenia bez PROXY_SECRET pomijają opcjonalną kontrolę podpisu.
- CVE-2026-41653Wysokie
W BentoPDF, przed wersją 2.8.3, zidentyfikowano podatność typu cross-site scripting (XSS). Atakujący mógłby wykonać dowolny kod JavaScript w określonych okolicznościach w narzędziu Markdown do PDF.
Oryginalny opis (angielski, źródło NVD)
BentoPDF is a client-side PDF toolkit that is self hostable. In 2.8.6 and earlier, deserializeWorkflow() accepts the Timestamp node's tsaUrl control from imported JSON without schema or destination validation. When a user imports the crafted workflow and runs it against a PDF, timestampPdf() sends an RFC 3161 TimeStampReq containing the PDF's SHA-256 MessageImprint to the attacker-selected endpoint. The default self-hosted configuration does not set VITE_CORS_PROXY_URL, so the request bypasses the proxy's ALLOWED_TSA_HOSTS checks and is sent directly. The disclosed digest can confirm that a document matches a known file and can correlate the same document across users without revealing its contents. This vulnerability is fixed in 2.8.7.