PT-2026-134198
CVE-2026-119343
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Stirling-PDF الإصدارات السابقة لـ 3.0.0
الوصف
يفشل التطبيق في استخدام CustomHtmlSanitizer عند معالجة المتغير
htmlContent في نقطة النهاية 'POST /api/v1/ai/tools/create-pdf-from-html-agent'. يسمح هذا بتمرير المدخلات مباشرة إلى WeasyPrint، مما يمكن من إجراء طلبات من جانب الخادم إلى وجهات داخلية أو وجهات بيانات cloud-metadata عبر مراجع موارد HTTP و HTTPS. بالإضافة إلى ذلك، يمكن استخدام مراجع الملفات لتضمين محتوى محلي يمكن لعملية التطبيق قراءته داخل ملف PDF الناتج. يمكن الوصول إلى نقطة النهاية هذه بدون مصادقة عندما تكون قيمة security.enableLogin هي false.التوصيات
التحديث إلى الإصدار 3.0.0.
كإجراء تخفيف مؤقت، قم بتعيين
security.enableLogin إلى true لتقييد الوصول إلى نقطة النهاية.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾