CVE-2026-123357

Nome do Software Vulnerável e Versões Afetadas GROBID versões anteriores a 0.9.1

Descrição O caminho de conversão de PDF não servidor no Linux em grobid-core/src/main/java/org/grobid/core/document/DocumentSource.java manipula incorretamente nomes de arquivos PDF. Quando um nome de arquivo é passado por DocumentSource.pdfalto, ele é interpolado em uma string de comando bash -c. Um invasor pode usar uma aspa simples no nome do arquivo para quebrar o mecanismo de citação, que é então executado por ProcessRunner.run em grobid-core/src/main/java/org/grobid/core/process/ProcessRunner.java via ProcessBuilder. Isso permite a execução de comandos arbitrários com os privilégios do processo GROBID.

Recomendações Atualizar para a versão 0.9.1.