PT-2026-5717
CVE-2026-24043
·
تاريخ النشر
2026-02-02
·
تاريخ التحديث
2026-02-02
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات jsPDF الأقدم من 4.1.0
الوصف
jsPDF هي مكتبة JavaScript تُستخدم لإنشاء مستندات PDF. توجد ثغرة أمنية ناتجة عن المدخلات التي يتحكم فيها المستخدم في الدالة
addMetadata، مما يسمح بحقن XML تعسفي. إذا تم تزويد الدالة addMetadata بمدخلات غير معقمة، فيمكن للمستخدم حقن بيانات تعريف XMP تعسفية في ملف PDF الذي تم إنشاؤه. وقد يؤدي ذلك إلى المساس بسلامة ملف PDF في حالة توقيعه أو معالجته لاحقًا. يوضح نموذج الهجوم حقن قيمة ”dc:creator“ (المؤلف) مزيفة لتزوير مصدر المستند. الوظيفة المعرضة للثغرة هي addMetadata. الحجة الأولى لوظيفة addMetadata هي المعلمة المعرضة للثغرة.التوصيات
يجب تحديث الإصدارات الأقدم من 4.1.0 إلى الإصدار 4.1.0 أو أحدث.
قم بتنقية مدخلات المستخدم قبل تمريرها إلى طريقة
addMetadata عن طريق هروب كيانات XML. على سبيل المثال، استبدل ’&‘ بـ ’&‘، و'<’ بـ ‘<’، و‘>' بـ ’>‘، و'”’ بـ ‘"’، و“‘" بـ ’'‘.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾