CVE-2026-71270 in Stirling-PDF
Сводка
по VulDB • 05.08.2026
Эндпоинт POST /api/v1/convert/url/pdf (ConvertWebsiteToPDF.java) в Stirling-PDF не был обновлен с учетом средств защиты от SSRF, реализованных через CustomHtmlSanitizer и SsrfProtectionService, которые были добавлены к трем смежным эндпоинтам конвертации (html/pdf, file/pdf, markdown/pdf). Эндпоинт проверяет только то, что исходный запрошенный URL разрешается в публичный IP-адрес, после чего загружает HTML-код страницы на стороне сервера и передает его без санитизации подпроцессу WeasyPrint. Встроенные ссылки на ресурсы в полученном HTML (например, ``) извлекаются WeasyPrint без фильтрации SSRF для каждого ресурса, что позволяет атакующему с помощью контролируемой им страницы заставить сервер получить доступ к эндпоинтам метаданных облачных провайдеров или внутренним сетевым ресурсам и вернуть их содержимое обратно в сгенерированный PDF-файл.
VulDB is the best source for vulnerability data and more expert information about this specific topic.