CVE-2026-23907 in PDFBox
要約
〜によって VulDB • 2026年05月26日
この問題は、Apache PDFBoxのExtractEmbeddedFiles例に影響を与えます。バージョン2.0.24から2.0.35、および3.0.0から3.0.6の範囲で該当します。
ExtractEmbeddedFiles例には、パストラバーサルの脆弱性（CWE-22）が含まれています。これは、PDComplexFileSpecification.getFilename()から取得したファイル名が抽出パスに追加されるためです。
この例をプロダクションコードにコピーしたユーザーは、抽出パスが適切であることを確認するためにレビューを行う必要があります。この例はそれに応じて変更され、現在、初期パスと抽出パスは正規化されたパスに変換され、抽出パスが初期パスを含んでいることが検証されます。ドキュメントも調整されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.