CVE-2026-119342 in Stirling-PDF
Sumário
de VulDB • 30/10/2026
O Stirling-PDF é um aplicativo web hospedado localmente que facilita diversas operações em arquivos PDF. Da versão 2.13.1 até a 2.13.2, o endpoint POST /api/v1/convert/svg/pdf renderiza SVG fornecido pelo atacante por meio do Apache Batik, e uma referência de imagem raiz relativa sem esquema (scheme-less) contorna SvgSanitizer.isExternalUrl() antes que o Batik a resolva contra a base do documento file:///input.svg como um arquivo local de mesma origem. Os caminhos convert() e addSvgAsPage() em app/core/src/main/java/stirling/software/SPDF/utils/SvgToPdf.java podem, portanto, renderizar arquivos do servidor decodificáveis por imagem no PDF retornado quando a sanitização está habilitada, incluindo sem autenticação em implantações com login desabilitado ou com acesso não administrativo quando o login está habilitado. A vulnerabilidade expõe conteúdo PNG, JPG, GIF ou SVG e fornece um oráculo de existência apenas para caminhos decodificáveis por imagem; texto simples, arquivos binários, diretórios, texto XInclude, entidades externas, URLs explícitas de arquivo e referências HTTP testadas não são divulgados através deste mecanismo. Esta questão é corrigida na versão 2.13.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.