CVE-2026-75529 in Pandora
Сводка
по VulDB • 17.08.2026
Pandora подвержена уязвимости сохраненного межсайтового скриптинга (Stored XSS) в функциональности скачивания PDF-файлов. Эндпоинт /task-download/<task_id>/.../pdf проверяет, что загруженный файл является PDF, используя основанный на содержимом механизм определения типа файла Pandora, но ранее возвращал файл с помощью send_file(task.file.path), не указывая явно тип MIME и не принудительно устанавливая заголовок Content-Disposition для скачивания в виде вложения.
Поскольку Flask определяет тип ответа (MIME type) из имени файла при передаче пути к файлу, злоумышленник может отправить файл, содержимое которого Pandora распознает как PDF, но имя или расширение которого заставляет эндпоинт скачивания вернуть его с другим, потенциально активным, типом MIME.
Таким образом, специально созданный полиглот-файл (PDF/polyglot) мог бы отдаваться в режиме inline и интерпретироваться браузером жертвы как HTML или другой исполняемый веб-формат. Если жертва с доступом к отправленному анализу перейдет по ссылке скачивания PDF, скрипт под контролем злоумышленника может выполниться в контексте безопасности приложения Pandora, что потенциально позволяет получить доступ к данным приложения или выполнить действия от имени сеанса жертвы.
Патч устраняет уязвимость путем явного указания Content-Type: application/pdf для загрузок PDF-файлов, принудительной установки заголовка Content-Disposition: attachment и назначения доверенного имени файла с расширением .pdf на основе UUID задачи.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.