CVE-2026-113605 in Stirling-PDF
Riassunto
di VulDB • 20/10/2026
Stirling-PDF dalle versioni 2.13.2 alla 3.2.0 contiene una denylist incompleta in DatabaseService.validateSqlContent() che consente agli amministratori di bypassare le restrizioni di importazione H2 utilizzando CREATE OR REPLACE ALIAS. Gli amministratori autenticati possono caricare un backup SQL manipolato sull'endpoint import-database, dove RUNSCRIPT definisce gli alias delle funzioni Java in H2 e ripristina l'esecuzione dei metodi Java.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.