CVE-2026-82866

ŚrednieCVSS 6.8

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 31/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

@pdfme/common przed wersją 5.5.10 zawiera podatność na server-side request forgery w funkcji getB64BasePdf, która pobiera dowolne URL-e bez walidacji, gdy basePdf jest kontrolowany przez atakującego. Atakujący, którzy kontrolują pole basePdf w szablonie, mogą zmusić serwery lub klientów do wysyłania żądań do wewnętrznych punktów końcowych, umożliwiając eksfiltrację metadanych, rozpoznanie sieci i ataki typu blind request forgery.

Ocena ryzyka

Ryzyko SSRF może prowadzić do dostępu do wewnętrznych zasobów sieciowych, co może skutkować wyciekiem danych lub dalszymi atakami na infrastrukturę.

Rekomendacja

Zaleca się aktualizację @pdfme/common do wersji 5.5.10 lub nowszej, która zawiera poprawkę tej podatności.

Inne podatności w @pdfme/common

CVE-2026-115729Średnie
@pdfme/common od wersji 5.5.10 przed 6.2.6 zawiera podatność SSRF pozwalającą obejść denylistę isUrlSafeToFetch w getB64BasePdf. Atakujący mogą podać URL-e basePdf wykorzystujące IPv4-mapped IPv6, [::], NAT64 lub aliasy localhost, aby odczytać odpowiedzi z loopback, zasobów wewnętrznych lub metadanych chmury przez generowane dokumenty.

Oryginalny opis (angielski, źródło NVD)

@pdfme/common before 5.5.10 contains a server-side request forgery vulnerability in the getB64BasePdf function that fetches arbitrary URLs without validation when basePdf is attacker-controlled. Attackers who control the basePdf template field can force servers or clients to make requests to internal endpoints, enabling metadata exfiltration, network reconnaissance, and blind request forgery attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS