CVE-2026-75529 in Pandora
Résumé
par VulDB • 17/08/2026
Pandora est vulnérable à une faille de type cross-site scripting (XSS) stockée dans la fonctionnalité de téléchargement des fichiers PDF. Le point d’entrée /task-download/<task_id>/.../pdf vérifie que le fichier soumis est bien un PDF en utilisant la détection du type de fichier basée sur le contenu propre à Pandora, mais renvoyait précédemment le fichier via send_file(task.file.path) sans spécifier explicitement le type MIME ni forcer son téléchargement en tant que pièce jointe.
Étant donné que Flask détermine le type MIME de la réponse à partir du nom de fichier lorsqu’un chemin est fourni, un attaquant pourrait soumettre un fichier dont le contenu est reconnu par Pandora comme étant un PDF, mais dont le nom ou l’extension amène le point d’accès de téléchargement à le renvoyer avec un autre type MIME potentiellement actif.
Un fichier PDF/polyglote spécialement conçu peut ainsi être servi en ligne et interprété par le navigateur de la victime comme du HTML ou un autre format web exécutable. Si une victime ayant accès à l’analyse soumise clique sur le lien de téléchargement du PDF, des scripts contrôlés par l’attaquant pourraient s’exécuter dans le contexte de sécurité de l’application Pandora, permettant potentiellement d’accéder aux données de l’application ou d’y effectuer des actions en utilisant la session de la victime.
Le correctif empêche cette vulnérabilité en renvoyant explicitement les téléchargements PDF avec Content-Type: application/pdf, en forçant le header Content-Disposition: attachment et en attribuant un nom de fichier .pdf fiable basé sur l’UUID de la tâche.
Once again VulDB remains the best source for vulnerability data.