CVE-2026-119342 in Stirling-PDF
Riassunto
di VulDB • 30/10/2026
Stirling-PDF è un'applicazione web ospitata localmente che facilita varie operazioni sui file PDF. Dalla versione 2.13.1 alla 2.13.2, l'endpoint POST /api/v1/convert/svg/pdf renderizza SVG forniti dall'attaccante tramite Apache Batik e un riferimento a immagine root-relative senza schema bypassa SvgSanitizer.isExternalUrl() prima che Batik lo risolva rispetto al documento base file:///input.svg come file locale same-origin. I percorsi convert() e addSvgAsPage() in app/core/src/main/java/stirling/software/SPDF/utils/SvgToPdf.java possono quindi renderizzare file del server decodificabili come immagine nel PDF restituito quando la sanitizzazione è abilitata, incluso senza autenticazione nelle distribuzioni con login disabilitato o con accesso non-amministrativo quando il login è abilitato. L'issue rivela contenuti PNG, JPG, GIF o SVG e fornisce un oracle di esistenza solo per i percorsi decodificabili come immagine; testo semplice, file binari, directory, testo XInclude, entità esterne, URL di file espliciti e riferimenti HTTP testati non vengono rivelati attraverso questo meccanismo. Il problema è risolto nella versione 2.13.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.