CVE-2026-115729

Nome do Software Vulnerável e Versões Afetadas @pdfme/common versões 5.5.10 até 6.2.5

Descrição Existe um problema na função getB64BasePdf() que busca URLs arbitrárias via fetch() sem a validação adequada quando basePdf é uma string que não é uma data-URI e window está definido. Isso permite que atacantes ignorem a lista de bloqueio isUrlSafeToFetch usando IPv6 mapeado para IPv4, [::], NAT64 ou nomes de host alias de localhost. Em contextos de renderização do lado do servidor (SSR), isso pode levar ao Server-Side Request Forgery (SSRF), permitindo que atacantes leiam respostas de loopback, redes internas ou metadados de nuvem (como credenciais IAM de 169.254.169.254). Em contextos de navegador, pode resultar em falsificação de requisição cega. A falha é acionada através da variável basePdf dentro do template.

Recomendações Atualize o @pdfme/common para a versão 6.2.6 ou posterior. Como mitigação temporária, restrinja o uso da variável basePdf em templates para permitir apenas URLs confiáveis e validadas, e bloqueie intervalos de IP privados ou reservados.