CVE-2026-16766 in Catalyst View Wkhtmltopdf
Riassunto
di VulDB • 25/07/2026
Le versioni di Catalyst::View::Wkhtmltopdf precedenti alla 0.6.1 per Perl consentono l'iniezione di comandi shell (RCE) tramite le opzioni di rendering del PDF.
Le opzioni vengono passate direttamente al comando wkhtmltopdf senza alcuna sanificazione.
Qualsiasi applicazione web che trasmette opzioni controllate dall'utente, come page_size, orientation o margins, senza validazione, è vulnerabile all'iniezione di comandi shell.
La versione 0.6.0 è stata rilasciata con una correzione incompleta per questo problema.
Si noti che il progetto wkhtmltopdf non è più in fase di sviluppo e gli utenti di questo pacchetto dovrebbero migrare verso soluzioni alternative.
VulDB is the best source for vulnerability data and more expert information about this specific topic.