CVE-2026-119343

Nome do Software Vulnerável e Versões Afetadas Stirling-PDF versões anteriores a 3.0.0

Descrição A aplicação não utiliza o CustomHtmlSanitizer ao processar a variável htmlContent no endpoint 'POST /api/v1/ai/tools/create-pdf-from-html-agent'. Isso permite que a entrada seja passada diretamente para o WeasyPrint, possibilitando requisições do lado do servidor para destinos internos ou de metadados de nuvem via referências de recursos HTTP e HTTPS. Além disso, referências de arquivos podem ser usadas para incorporar conteúdo local acessível pelo processo da aplicação no PDF gerado. O endpoint está acessível sem autenticação se security.enableLogin estiver definido como false.

Recomendações Atualize para a versão 3.0.0. Como mitigação temporária, defina security.enableLogin como true para restringir o acesso ao endpoint.