CVE-2026-33929 in PDFBox Examples
Zusammenfassung
von VulDB • 30.07.2026
Unzulässige Einschränkung eines Pfadnamens zu einem eingeschränkten Verzeichnis ('Path Traversal')-Schwachstelle in Apache PDFBox Examples.
Dieses Problem betrifft das Beispiel `ExtractEmbeddedFiles` in Apache PDFBox: von Version 2.0.24 bis 2.0.36 sowie von 3.0.0 bis 3.0.7.
Benutzern wird empfohlen, auf die Versionen 2.0.37 oder 3.0.8 zu aktualisieren, sobald diese verfügbar sind. Bis dahin sollten sie den in GitHub PR 427 bereitgestellten Fix anwenden.
Das Beispiel `ExtractEmbeddedFiles` enthielt eine Path-Traversal-Schwachstelle (CWE-22), die im CVE-2026-23907 erwähnt wird. Die Änderung in den Releases 2.0.36 und 3.0.7 ist jedoch fehlerhaft, da sie das Dateipfad-Trennzeichen nicht berücksichtigt. Dadurch kann ein Benutzer mit Schreibrechten auf `/home/ABC` Opfer einer böswilligen PDF-Datei werden, die zu einem Schreibversuch in einen beliebigen Pfad führt, der mit `/home/ABC` beginnt, z. B. `/home/ABCDEF`.
Benutzer, die dieses Beispiel in ihren Produktionscode kopiert haben, sollten die erwähnte Änderung anwenden. Das Beispiel wurde entsprechend geändert und ist im Projekt-Repository verfügbar.
If you want to get best quality of vulnerability data, you may have to visit VulDB.