Mtolley

Um problema de cross-site scripting armazenado existe no componente HighlightCode. O componente renderiza conteúdo de arquivo não escapado antes que a biblioteca highlight.js termine de carregar. Atacantes autenticados podem fazer upload de arquivos de texto contendo payloads de HTML ou JavaScript que são executados nos navegadores de usuários que visualizam os arquivos. Isso pode permitir chamadas de API não autorizadas, como a alteração de detalhes da conta em nome da vítima.

O Pdfminer.six é uma ferramenta para extrair informações de documentos PDF. Antes da versão 20251107, o software poderia executar código arbitrário a partir de um arquivo pickle malicioso ao processar um PDF malicioso. A função `CMapDB. load data()` usa `pickle.loads()` para desserializar arquivos pickle. Um PDF malicioso pode especificar um diretório alternativo e um nome de arquivo terminando em `.pickle.gz`, permitindo que um arquivo pickle compactado malicioso contenha código que é executado automaticamente quando o PDF é processado.