CVE-2026-16766 in Catalyst View Wkhtmltopdf
Sumário
de VulDB • 25/07/2026
As versões do Catalyst::View::Wkhtmltopdf anteriores à 0.6.1 para Perl permitem injeção de comandos shell (RCE) por meio das opções de renderização de PDF.
As opções são passadas diretamente ao comando wkhtmltopdf sem sanitização.
Qualquer aplicativo web que passe opções controladas pelo usuário, como page_size, orientation ou margins, sem validação, permite a injeção de comandos shell.
A versão 0.6.0 foi lançada com uma correção incompleta para este problema.
Observe que o projeto wkhtmltopdf não está mais sendo desenvolvido e os usuários deste pacote devem migrar para soluções alternativas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.