PT-2026-121940
CVE-2026-115729
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
@pdfme/common الإصدارات من 5.5.10 إلى 6.2.5
الوصف
توجد مشكلة في الدالة
getB64BasePdf() حيث تقوم بجلب عناوين URL عشوائية عبر fetch() دون التحقق المناسب عندما يكون basePdf سلسلة نصية ليست من نوع data-URI ويكون window معرفاً. يسمح هذا للمهاجمين بتجاوز قائمة الحظر isUrlSafeToFetch باستخدام IPv6 المخطط لـ IPv4، أو [::]، أو NAT64، أو أسماء مضيفة مستعارة لـ localhost. في سياقات الرندرة من جانب الخادم (SSR)، يمكن أن يؤدي ذلك إلى تزوير الطلبات من جانب الخادم (SSRF)، مما يمكن المهاجمين من قراءة استجابات loopback، أو الشبكات الداخلية، أو استجابات بيانات cloud الوصفية (مثل بيانات اعتماد IAM من 169.254.169.254). أما في سياقات المتصفح، فقد يؤدي ذلك إلى تزوير طلبات عمياء. يتم تفعيل هذه الثغرة عبر المتغير basePdf داخل القالب.التوصيات
تحديث @pdfme/common إلى الإصدار 6.2.6 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد استخدام المتغير
basePdf في القوالب للسماح فقط بعناوين URL موثوقة ومحققة، وحظر نطاقات عناوين IP الخاصة أو المحجوزة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾