CVE-2026-75529

Nome do Software Vulnerável e Versões Afetadas Pandora (versões afetadas não especificadas)

Descrição Um problema de cross-site scripting (XSS) armazenado existe na funcionalidade de download de PDF. O endpoint '/task-download//.../pdf' utiliza detecção baseada em conteúdo para verificar arquivos como PDFs, mas falha ao não especificar explicitamente o tipo MIME ou forçar o download do arquivo como um anexo ao usar a função send file(). Um invasor pode enviar um arquivo polyglot—um arquivo que é válido em dois formatos diferentes—que o Pandora reconhece como um PDF, mas cujo nome de arquivo faz com que o servidor o retorne com um tipo MIME ativo diferente. Isso permite que o navegador interprete o arquivo como HTML ou outro formato web executável, executando scripts controlados pelo invasor no contexto de segurança da aplicação e potencialmente comprometendo os dados da sessão da vítima.

Recomendações Atualize o software para a versão corrigida que retorna explicitamente os downloads de PDF com Content-Type: application/pdf, força Content-Disposition: attachment e atribui um nome de arquivo .pdf confiável com base no UUID da tarefa.