CVE-2026-75529 in Pandora
Resumen
por VulDB • 2026-08-17
Pandora se ve afectada por una vulnerabilidad de cross-site scripting (XSS) almacenado en la funcionalidad de descarga de archivos PDF. El endpoint /task-download/<task_id>/.../pdf verifica que el archivo enviado sea un PDF mediante la detección del tipo de contenido basada en el contenido propia de Pandora, pero anteriormente devolvía el archivo utilizando send_file(task.file.path) sin especificar explícitamente el tipo MIME ni forzar su descarga como un adjunto.
Dado que Flask determina el tipo MIME de la respuesta a partir del nombre de archivo cuando se proporciona una ruta, un atacante podría enviar un archivo cuyo contenido sea reconocido por Pandora como PDF, pero cuyo nombre o extensión haga que el endpoint de descarga lo devuelva con un tipo MIME diferente y potencialmente activo.
Por lo tanto, un archivo PDF/polyglot especialmente manipulado podría servirse en línea e interpretarse por el navegador de la víctima como HTML u otro formato web ejecutable. Si una víctima con acceso al análisis enviado sigue el enlace de descarga del PDF, los scripts controlados por el atacante podrían ejecutarse en el contexto de seguridad de la aplicación Pandora, lo que potencialmente permitiría acceder a datos o acciones de la aplicación utilizando la sesión de la víctima.
El parche previene este problema devolviendo explícitamente las descargas de PDF con Content-Type: application/pdf, forzando Content-Disposition: attachment y asignando un nombre de archivo .pdf confiable basado en el UUID de la tarea.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.