Podatności Apache PDFBox
3 znanych podatności CVE w Apache PDFBox, przetłumaczonych i ocenionych.
- CVE-2016-2175Wysokie
Apache PDFBox przed wersją 1.8.12 oraz 2.x przed wersją 2.0.1 nieprawidłowo inicjalizuje parsery XML, co umożliwia atakującym zależnym od kontekstu przeprowadzenie ataków typu XML External Entity (XXE) za pomocą spreparowanego pliku PDF.
- CVE-2026-33929Średnie
Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.36 i 3.0.0–3.0.7) zawiera podatność path traversal (CWE-22). Poprawka w wersjach 2.0.36 i 3.0.7 jest wadliwa, ponieważ nie uwzględnia separatora ścieżki, co pozwala na zapis do ścieżek rozpoczynających się od katalogu użytkownika, np. /home/ABCDEF.
- CVE-2026-23907Średnie
Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.35 oraz 3.0.0–3.0.6) zawiera podatność typu path traversal (CWE-22). Nazwa pliku uzyskana z metody PDComplexFileSpecification.getFilename() jest bezpośrednio dołączana do ścieżki ekstrakcji, co może umożliwić zapis plików poza oczekiwanym katalogiem.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS