PT-2026-24199 · Apache · Apache Pdfbox

Joakim Bülow · Publicado 2026-03-10 · Atualizado 2026-04-14 · CVE-2026-23907

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache PDFBox versões 2.0.24 a 2.0.36 Apache PDFBox versões 3.0.0 a 3.0.7

Descrição O exemplo ExtractEmbeddedFiles contido no Apache PDFBox apresenta uma vulnerabilidade de path traversal. O nome do arquivo obtido de PDComplexFileSpecification.getFilename() é concatenado ao caminho de extração, potencialmente permitindo acesso não autorizado ou modificação de arquivos.

Recomendações Para as versões do Apache PDFBox de 2.0.24 a 2.0.36, revise qualquer código de produção que utilize o exemplo ExtractEmbeddedFiles para garantir que o caminho de extração seja aceitável. Para as versões do Apache PDFBox de 3.0.0 a 3.0.7, revise qualquer código de produção que utilize o exemplo ExtractEmbeddedFiles para garantir que o caminho de extração seja aceitável.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-23907

GHSA-JJWR-XMW6-GF78

Produtos afetados

Apache Pdfbox

Referências · 19

• https://github.com/apache/pdfbox · Nota
• https://github.com/apache/pdfbox/commit/b028eafdf101b58e4ee95430c3be25e3e3aa29d7 · Nota
• https://t.me/CVEtracker/46997 · Publicação no Telegram
• https://lists.apache.org/thread/gyfq5tcrxfv7rx0z2yyx4hb3h53ndffw · Aviso do Fabricante
• https://twitter.com/oss_security/status/2031364903395639615 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-23907 · Nota de Segurança
• https://twitter.com/oss_security/status/2043887762705674583 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2031330623642849430 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-jjwr-xmw6-gf78 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-23907 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-23907 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-23907 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-23907 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/03/10/1 · Nota
• https://github.com/JoakimBulow · Nota