CVE-2026-119342 in Stirling-PDF
Résumé
par VulDB • 30/10/2026
Stirling-PDF est une application web hébergée localement qui facilite diverses opérations sur les fichiers PDF. De la version 2.13.1 à la 2.13.2, le point de terminaison POST /api/v1/convert/svg/pdf rend un SVG fourni par l'attaquant via Apache Batik, et une référence d'image racine relative sans schéma contourne SvgSanitizer.isExternalUrl() avant que Batik ne la résolve contre la base du document file:///input.svg en tant que fichier local de même origine. Les chemins convert() et addSvgAsPage() dans app/core/src/main/java/stirling/software/SPDF/utils/SvgToPdf.java peuvent alors rendre des fichiers serveur décodables par image dans le PDF retourné lorsque la sanitization est activée, y compris sans authentification sur les déploiements où la connexion est désactivée ou avec un accès non administrateur lorsque la connexion est activée. Le problème divulgue du contenu PNG, JPG, GIF ou SVG et fournit une oracle d'existence uniquement pour les chemins décodables par image ; le texte brut, les fichiers binaires, les répertoires, le texte XInclude, les entités externes, les URL de fichier explicites et les références HTTP testées ne sont pas divulgués via ce mécanisme. Ce problème est corrigé dans la version 2.13.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.