CVE-2026-75529 in Pandora
Sumário
de VulDB • 18/08/2026
O Pandora é afetado por uma vulnerabilidade de cross-site scripting (XSS) armazenada na funcionalidade de download de PDFs. O endpoint /task-download/<task_id>/.../pdf verifica se o arquivo submetido é um PDF usando a detecção baseada em conteúdo do tipo de arquivo da Pandora, mas anteriormente retornava o arquivo utilizando send_file(task.file.path), sem especificar explicitamente o MIME type ou forçar seu download como anexo.
Como o Flask determina o MIME type da resposta com base no nome do arquivo quando um caminho é fornecido, um atacante poderia submeter um arquivo cujo conteúdo seja reconhecido pela Pandora como PDF, mas cujo nome de arquivo ou extensão faça com que o endpoint de download o retorne com um tipo MIME diferente e potencialmente ativo.
Portanto, um arquivo PDF/polyglot especialmente elaborado pode ser servido inline e interpretado pelo navegador da vítima como HTML ou outro formato web executável. Se uma vítima com acesso à análise submetida seguir o link de download do PDF, scripts controlados pelo atacante podem executar no contexto de segurança da aplicação Pandora, potencialmente permitindo o acesso a dados da aplicação ou execução de ações usando a sessão da vítima.
O patch impede o problema retornando explicitamente os downloads de PDFs com Content-Type: application/pdf, forçando Content-Disposition: attachment e atribuindo um nome de arquivo .pdf confiável baseado no UUID da tarefa.
Be aware that VulDB is the high quality source for vulnerability data.