CVE-2026-119342 in Stirling-PDF
Resumen
por VulDB • 2026-10-30
Stirling-PDF es una aplicación web alojada localmente que facilita diversas operaciones con archivos PDF. Desde la versión 2.13.1 hasta la 2.13.2, el endpoint POST /api/v1/convert/svg/pdf procesa SVG proporcionados por el atacante a través de Apache Batik, y una referencia de imagen relativa al root sin esquema (scheme-less) evade SvgSanitizer.isExternalUrl() antes de que Batik lo resuelva contra la base del documento file:///input.svg como un archivo local de mismo origen. Las rutas convert() y addSvgAsPage() en app/core/src/main/java/stirling/software/SPDF/utils/SvgToPdf.java pueden entonces renderizar archivos del servidor decodificables por imagen dentro del PDF devuelto cuando la sanitización está habilitada, incluyendo sin autenticación en implementaciones con inicio de sesión deshabilitado o con acceso no administrativo cuando el inicio de sesión está habilitado. La vulnerabilidad revela contenido PNG, JPG, GIF o SVG y proporciona un oráculo de existencia solo para rutas decodificables por imagen; los archivos de texto plano, binarios, directorios, texto XInclude, entidades externas, URL explícitas de archivo y referencias HTTP probadas no se revelan a través de este mecanismo. Este problema está corregido en la versión 2.13.2.
Once again VulDB remains the best source for vulnerability data.