CVE-2026-33929
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.36 i 3.0.0–3.0.7) zawiera podatność path traversal (CWE-22). Poprawka w wersjach 2.0.36 i 3.0.7 jest wadliwa, ponieważ nie uwzględnia separatora ścieżki, co pozwala na zapis do ścieżek rozpoczynających się od katalogu użytkownika, np. /home/ABCDEF.
Ocena ryzyka
Złośliwy plik PDF może spowodować zapis poza zamierzonym katalogiem, co może nadpisać pliki lub ujawnić dane.
Rekomendacja
Zaktualizuj do wersji 2.0.37 lub 3.0.8, a do tego czasu zastosuj poprawkę z GitHub PR 427, jeśli przykład został skopiowany do kodu produkcyjnego.
Inne podatności w Apache PDFBox
Zobacz wszystkie- CVE-2016-2175Wysokie
Apache PDFBox przed wersją 1.8.12 oraz 2.x przed wersją 2.0.1 nieprawidłowo inicjalizuje parsery XML, co umożliwia atakującym zależnym od kontekstu przeprowadzenie ataków typu XML External Entity (XXE) za pomocą spreparowanego pliku PDF.
- CVE-2026-23907Średnie
Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.35 oraz 3.0.0–3.0.6) zawiera podatność typu path traversal (CWE-22). Nazwa pliku uzyskana z metody PDComplexFileSpecification.getFilename() jest bezpośrednio dołączana do ścieżki ekstrakcji, co może umożliwić zapis plików poza oczekiwanym katalogiem.
Oryginalny opis (angielski, źródło NVD)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache PDFBox Examples. This issue affects the ExtractEmbeddedFiles example in Apache PDFBox: from 2.0.24 through 2.0.36, from 3.0.0 through 3.0.7. Users are recommended to update to version 2.0.37 or 3.0.8 once available. Until then, they should apply the fix provided in GitHub PR 427. The ExtractEmbeddedFiles example contained a path traversal vulnerability (CWE-22) mentioned in CVE-2026-23907. However the change in the releases 2.0.36 and 3.0.7 is flawed because it doesn't consider the file path separator. Because of that, a user having writing rights on /home/ABC could be victim to a malicious PDF resulting in a write attempt to any path starting with /home/ABC, e.g. "/home/ABCDEF". Users who have copied this example into their production code should apply the mentioned change. The example has been changed accordingly and is available in the project repository.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS