PT-2026-1342
CVE-2025-68428
·
تاريخ النشر
2026-01-03
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات jsPDF الأقدم من 4.0.0
الوصف
يحتوي jsPDF، وهو مكتبة JavaScript لإنشاء ملفات PDF، على ثغرة خطيرة في إصداراته المخصصة لـ Node.js. قبل الإصدار 4.0.0، كانت الطرق
loadFile وaddImage وhtml وaddFont عرضة لإدراج الملفات محليًّا وتجاوز المسار. وهذا يسمح للمهاجم بقراءة ملفات عشوائية من النظام الذي تعمل عليه عملية Node.js ودمج محتوى هذه الملفات في ملف PDF الذي يتم إنشاؤه. تحدث هذه الثغرة الأمنية عندما يتم تمرير مسارات غير معقمة إلى الأسلوب loadFile. تؤثر المشكلة على الملفين dist/jspdf.node.js وdist/jspdf.node.min.js. تشير التقارير إلى أن المهاجمين يستغلون هذه الثغرة بنشاط لاستخراج البيانات الحساسة، بما في ذلك الإعدادات وبيانات الاعتماد، من الخوادم المخترقة.التوصيات
قم بالتحديث إلى الإصدار 4.0.0 أو أحدث من jsPDF.
بالنسبة للإصدارات الأقدم من Node.js، قم بتنقية المسارات التي يقدمها المستخدم قبل تمريرها إلى jsPDF.
مع الإصدارات الحديثة من Node.js (22.13.0/23.5.0/24.0.0 وما بعدها)، ضع في اعتبارك استخدام العلامة
--permission في بيئة الإنتاج. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾