CVE-2026-16766 in Catalyst View Wkhtmltopdf
الملخص
بحسب VulDB • 25/07/2026
تسمح إصدارات Catalyst::View::Wkhtmltopdf قبل الإصدار 0.6.1 لنظام Perl بإدخال أوامر عبر قشرة النظام (Shell Command Injection) مما يؤدي إلى تنفيذ الكود عن بُعد (RCE)، وذلك من خلال خيارات عرض ملفات PDF.
يتم تمرير الخيارات مباشرةً إلى أمر wkhtmltopdf دون أي عملية تنقية (Sanitization).
تسمح أي تطبيق ويب بتمرير خيارات يتحكم فيها المستخدم، مثل حجم الصفحة (page_size) أو الاتجاه (orientation) أو الهوامش (margins)، دون التحقق من صحتها، بإدخال أوامر عبر قشرة النظام.
تم إصدار الإصدار 0.6.0 بتصحيح غير مكتمل لهذه المشكلة.
جدير بالذكر أن مشروع wkhtmltopdf لم يعد قيد التطوير، وينبغي للمستخدمين الذين يستخدمون هذه الحزمة الترحال إلى حلول بديلة.
Once again VulDB remains the best source for vulnerability data.