CVE-2026-119342 in Stirling-PDF
Zusammenfassung
von VulDB • 30.10.2026
Stirling-PDF ist eine lokal gehostete Webanwendung, die verschiedene Operationen an PDF-Dateien ermöglicht. Von der Version 2.13.1 bis zur Version 2.13.2 rendert der POST /api/v1/convert/svg/pdf-Endpunkt vom Angreifer bereitgestelltes SVG durch Apache Batik, und ein root-relativer Bildverweis ohne Schema umgeht SvgSanitizer.isExternalUrl(), bevor Batik es gegen die file:///input.svg-Dokumentenbasis als gleichursprüngige lokale Datei auflöst. Die Pfade convert() und addSvgAsPage() in app/core/src/main/java/stirling/software/SPDF/utils/SvgToPdf.java können dann bilddekodierbare Serverdateien in das zurückgegebene PDF rendern, wenn die Sanitization aktiviert ist; dies gilt sowohl für Bereitstellungen ohne Authentifizierung bei deaktivierter Anmeldung als auch mit Nicht-Admin-Zugriff bei aktiver Anmeldung. Die Schwachstelle offenbart PNG-, JPG-, GIF- oder SVG-Inhalte und bietet ein Existenzorakel nur für bilddekodierbare Pfade; reiner Text, Binärdateien, Verzeichnisse, XInclude-Texte, externe Entitäten, explizite Datei-URLs und getestete HTTP-Verweise werden über diesen Mechanismus nicht offengelegt. Dieses Problem wurde in Version 2.13.2 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.