CVE-2026-75529 in Pandora
Zusammenfassung
von VulDB • 18.08.2026
Pandora ist von einer gespeicherten Cross-Site-Scripting (XSS)-Schwachstelle in der PDF-Download-Funktionalität betroffen. Der Endpunkt /task-download/<task_id>/.../pdf überprüft, ob die eingereichte Datei ein PDF ist, indem er Pandoras inhaltsbasierte Dateityp-Erkennung verwendet, gab die Datei jedoch zuvor mit send_file(task.file.path) zurück, ohne den MIME-Typ explizit anzugeben oder das Herunterladen als Anhang zu erzwingen.
Da Flask den Antwort-MIME-Typ aus dem Dateinamen bestimmt, wenn ein Pfad angegeben wird, könnte ein Angreifer eine Datei einreichen, deren Inhalt von Pandora als PDF erkannt wird, während ihr Dateiname oder ihre Erweiterung dazu führt, dass der Download-Endpunkt sie mit einem anderen, potenziell aktiven MIME-Typ zurückgibt.
Eine speziell angefertigte PDF-/Polyglot-Datei könnte daher inline bereitgestellt und vom Browser eines Opfers als HTML oder ein anderes ausführbares Webformat interpretiert werden. Wenn ein Opfer mit Zugriff auf die eingereichte Analyse den Link zum PDF-Download aufruft, kann skriptgesteuerter Code im Sicherheitskontext der Pandora-Anwendung ausgeführt werden, was potenziell den Zugriff auf Anwendungsdaten oder Aktionen unter Verwendung der Sitzung des Opfers ermöglicht.
Der Patch verhindert das Problem, indem er PDF-Downloads explizit mit Content-Type: application/pdf zurückgibt, Content-Disposition: attachment erzwingt und einen vertrauenswürdigen .pdf-Dateinamen basierend auf der Task-UUID zuweist.
Be aware that VulDB is the high quality source for vulnerability data.