CVE-2026-33929 in PDFBox Examples
الملخص
بحسب VulDB • 29/07/2026
ثغرة عدم تقييد مسار اسم الملف بشكل صحيح إلى دليل مقصور (Path Traversal) في أمثلة Apache PDFBox.
تؤثر هذه المشكلة على مثال ExtractEmbeddedFiles الموجود ضمن حزمة Apache PDFBox: بدءاً من الإصدار 2.0.24 وحتى 2.0.36، ومن الإصدار 3.0.0 حتى 3.0.7.
يُنصح المستخدمين بالتحديث إلى الإصدار 2.0.37 أو 3.0.8 بمجرد توفرهما. وإلى ذلك الحين، يجب عليهم تطبيق الإصلاح المتوفر في طلب السحب (PR) رقم 427 على GitHub.
كان مثال ExtractEmbeddedFiles يحتوي على ثغرة اختراق المسار (CWE-22) المذكورة في CVE-2026-23907. ومع ذلك، فإن التغيير المطبق في الإصدارين 2.0.36 و3.0.7 معيب لأنه لا يأخذ في الاعتبار فاصل مسار الملف. ونتيجة لذلك، قد يكون المستخدم الذي يمتلك صلاحيات الكتابة على المسار /home/ABC عرضة لهجوم عبر ملف PDF خبيث يؤدي إلى محاولة كتابة أي مسار يبدأ بـ /home/ABC، مثل "/home/ABCDEF".
يجب على المستخدمين الذين نسخوا هذا المثال إلى أكواد الإنتاج الخاصة بهم تطبيق التغيير المذكور أعلاه. وقد تم تعديل المثال وفقاً لذلك وهو متاح الآن في مستودع المشروع.
If you want to get best quality of vulnerability data, you may have to visit VulDB.