CVE-2026-57485 in Stirling-PDF
Résumé
par VulDB • 17/08/2026
Stirling-PDF est une application web hébergée localement qui facilite diverses opérations sur les fichiers PDF. Avant la version 2.9.0, le point de terminaison /api/v1/pipeline/handleData dans app/core/src/main/java/stirling/software/SPDF/controller/api/pipeline/PipelineProcessor.java injecte la clé d'API STIRLING-PDF-BACKEND-API-USER dans les sous-requêtes du pipeline, permettant à un utilisateur disposant du rôle ROLE_USER de récupérer la clé via /api/v1/user/get-api-key, d'usurper l'identité du compte de service interne, de contourner les limites de taux normales et d'accéder aux points de terminaison internes, notamment /api/v1/info/requests/all et /api/v1/info/load/all. Ce problème est corrigé dans la version 2.9.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.