PT-2026-20852 · Jspdf · Jspdf
CVSS v3.1
9.6
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do jsPDF anteriores a 4.2.0
Descrição
O jsPDF é uma biblioteca JavaScript usada para gerar documentos PDF. Antes da versão 4.2.0, o módulo Acroform permite que usuários injetem objetos PDF arbitrários, como ações JavaScript, por meio de entradas controladas pelo usuário. Isso pode levar à execução dessas ações quando um usuário interage com o PDF, como ao passar o cursor sobre uma opção de botão de rádio. A vulnerabilidade decorre da falta de sanitização da entrada passada às propriedades e métodos do módulo Acroform.
Recomendações
As versões anteriores a 4.2.0 devem ser atualizadas para a versão 4.2.0 ou posterior. Como medida alternativa, sanitizar a entrada do usuário antes de passá-la aos membros vulneráveis da API do módulo Acroform.
Exploit
Correção
Improper Encoding or Escaping of Output
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jspdf