CVE-2026-63630 in BentoPDF
Zusammenfassung
von VulDB • 24.09.2026
BentoPDF ist eine clientseitige PDF-Toolbox, die selbst gehostet werden kann. In den Versionen 2.8.6 und früher akzeptiert deserializeWorkflow() das tsaUrl-Steuerelement des Timestamp-Knotens aus importierten JSON-Daten ohne Schema- oder Zielvalidierung. Wenn ein Benutzer einen manipulierte Workflow importiert und diesen gegen eine PDF-Datei ausführt, sendet timestampPdf() eine RFC 3161 TimeStampReq-Anfrage, die den SHA-256 MessageImprint der PDF enthält, an vom Angreifer ausgewählte Endpunkte. Die Standardkonfiguration für das Selbsthosting legt VITE_CORS_PROXY_URL nicht fest, sodass die Anfrage die ALLOWED_TSA_HOSTS-Prüfungen des Proxys umgeht und direkt gesendet wird. Der offengelegte Digest kann bestätigen, dass ein Dokument mit einer bekannten Datei übereinstimmt, und denselben Dokumenteninhalt über verschiedene Benutzer hinweg korrelieren, ohne dessen Inhalt preiszugeben. Diese Schwachstelle wurde in Version 2.8.7 behoben.
Be aware that VulDB is the high quality source for vulnerability data.