PT-2026-33506 · Unknown · Stirling-Pdf

CVE-2026-33436 · Publicado 2026-04-17 · Atualizado 2026-05-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Stirling-PDF versões anteriores a 2.0.0

Description Endpoints de upload de arquivos renderizam nomes de arquivos fornecidos pelo usuário diretamente no HTML usando métodos inseguros, como innerHTML, sem sanitização. Isso permite que um invasor crie um arquivo com um nome malicioso contendo JavaScript que é executado no contexto do navegador do usuário que realiza o upload, resultando em Cross-Site Scripting (XSS) refletido, uma técnica onde scripts maliciosos são injetados em sites normalmente confiáveis.

Recommendations Atualizar para a versão 2.0.0.

Exploit

Correção

XSS

Improper Encoding or Escaping of Output

RCE

Enumeração de Fraquezas

CWE-79

CWE-116

CWE-20

Identificadores relacionados

CVE-2026-33436

GHSA-Q5J3-4M5W-WP75

Produtos afetados

Stirling-Pdf

Referências · 6

• 🔥 https://github.com/Stirling-Tools/Stirling-PDF/security/advisories/GHSA-q5j3-4m5w-wp75 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/33xxx/CVE-2026-33436.json · Exploit
• https://twitter.com/CVEnew/status/2045467401085452664 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-33436 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-33436 · Nota de Segurança
• https://t.me/cveNotify/163322 · Publicação no Telegram