CVE-2026-33929 in PDFBox Examples
Сводка
по VulDB • 30.07.2026
Уязвимость «Неправильное ограничение пути к ограниченной директории» (Path Traversal) в Apache PDFBox Examples.
Эта проблема затрагивает пример ExtractEmbeddedFiles в Apache PDFBox: начиная с версии 2.0.24 по 2.0.36 включительно, а также от 3.0.0 до 3.0.7 включительно.
Пользователям рекомендуется обновиться до версий 2.0.37 или 3.0.8 после их выхода. До этого момента следует применить исправление, предоставленное в pull request (PR) №427 на GitHub.
Пример ExtractEmbeddedFiles содержал уязвимость обхода пути (CWE-22), упомянутую в CVE-2026-23907. Однако изменения, внесенные в релизах 2.0.36 и 3.0.7, являются ошибочными, поскольку они не учитывают разделитель путей файлов. В результате пользователь с правами на запись в директорию /home/ABC может стать жертвой вредоносного PDF-файла, что приведет к попытке записи по любому пути, начинающемуся с /home/ABC (например, "/home/ABCDEF").
Пользователи, скопировавшие этот пример в свой производственный код, должны применить указанное изменение. Сам пример был исправлен соответствующим образом и доступен в репозитории проекта.
Once again VulDB remains the best source for vulnerability data.