CVE-2026-26801
WysokieStreszczenie
Podatność typu Server-Side Request Forgery (SSRF) w wersjach pdfmake od 0.3.0-beta.2 do 0.3.5 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez komponent src/URLResolver.js.
Ocena ryzyka
Organizacje mogą być narażone na wyciek danych, jeśli nie zastosują odpowiednich zasad dostępu do URL w aplikacjach korzystających z pdfmake.
Rekomendacja
Zaleca się aktualizację do wersji 0.3.6 lub nowszej oraz skonfigurowanie zasad dostępu do URL za pomocą metody setUrlAccessPolicy().
Inne podatności w pdfmake
Zobacz wszystkie- CVE-2026-114491Średnie
pdfmake w wersji 0.3.8 przed 0.3.12 nie stosuje ograniczenia setLocalAccessPolicy() do obrazów osadzonych w zawartości SVG, co pozwala atakującemu odczytać zablokowane pliki lokalne. Atakujący dostarczający definicję dokumentu może dodać href obrazu SVG wskazujący na ścieżkę lokalną i osadzić zawartość zastrzeżonego pliku w wygenerowanym PDF.
- CVE-2025-11362Wysokie
Wersje pakietu pdfmake od 0.3.0-beta.1 do przed 0.3.0-beta.17 są podatne na alokację zasobów bez limitów lub ograniczeń poprzez wielokrotne przekierowanie URL w osadzaniu plików. Atakujący może spowodować awarię aplikacji lub jej brak reakcji, dostarczając spreparowane dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
Server-Side Request Forgery (SSRF) vulnerability in pdfmake versions 0.3.0-beta.2 through 0.3.5 allows a remote attacker to obtain sensitive information via the src/URLResolver.js component. The fix was released in version 0.3.6 which introduces the setUrlAccessPolicy() method allowing server operators to define URL access rules. A warning is now logged when pdfmake is used server-side without a policy configured.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS