CVE-2026-108554

Nome do Software Vulnerável e Versões Afetadas PDFMathTranslate (pdf2zh) versões anteriores a 1.9.12

Descrição Um invasor não autenticado pode realizar um server-side request forgery (SSRF), que ocorre quando um servidor é enganado para fazer requisições a um local não pretendido. O problema existe porque o manipulador translate file passa URLs fornecidas pelo usuário para a função download with limit() sem validar o esquema ou o endereço. Isso permite que invasores usem a entrada de Link para forçar o servidor a buscar URLs arbitrárias, potencialmente acessando serviços internos e endpoints de metadados de nuvem para recuperar PDFs retornados.

Recomendações Atualize o PDFMathTranslate (pdf2zh) para a versão 1.9.12 ou posterior. Como mitigação temporária, restrinja o acesso ao campo de entrada de Link para evitar requisições de URL não autorizadas.