CVE-2026-16766 in Catalyst View Wkhtmltopdf
要約
〜によって VulDB • 2026年07月25日
Perl用のCatalyst::View::Wkhtmltopdfのバージョン0.6.1より前のバージョンでは、PDFレンダリングオプションを通じてシェルコマンドインジェクション（RCE）が可能となります。
オプションは検証やサニタイズ処理なしでwkhtmltopdfコマンドに直接渡されます。
page_size、orientation、またはmarginsなどのユーザー制御可能なオプションを検証せずに渡すWebアプリケーションでは、シェルコマンドインジェクションのリスクがあります。
バージョン0.6.0にはこの問題に対する不完全な修正が含まれていました。
なお、wkhtmltopdfプロジェクトの開発は終了しており、本パッケージの利用者は代替ソリューションへの移行を検討すべきです。
Once again VulDB remains the best source for vulnerability data.