Η βιβλιοθήκη jsPDF για τη δημιουργία εγγράφων PDF σε εφαρμογές JavaScript είναι ευάλωτη σε μια κρίσιμη ευπάθεια που επιτρέπει σε έναν εισβολέα να κλέψει ευαίσθητα δεδομένα από το τοπικό σύστημα αρχείων συμπεριλαμβάνοντάς τα σε αρχεία που δημιουργούνται.
Το ελάττωμα είναι μια τοπική συμπερίληψη αρχείων και διέλευση διαδρομής που επιτρέπει τη διέλευση μη εξυγιαντικών διαδρομών στον μηχανισμό φόρτωσης αρχείων (loadFile) σε εκδόσεις jsPDF πριν από την έκδοση 4.0. Παρακολουθείται ως CVE-2025-68428 και έλαβε βαθμολογία σοβαρότητας 9,2.
Η βιβλιοθήκη jsPDF είναι ένα ευρέως διαδεδομένο πακέτο με περισσότερα από 3,5 εκατομμύρια εβδομαδιαίες λήψεις στο μητρώο npm.
Στις εκδόσεις Node.js του jsPDF, η συνάρτηση ‘loadFile’ χρησιμοποιείται για την ανάγνωση του τοπικού συστήματος αρχείων. Το πρόβλημα προκύπτει όταν η είσοδος ελεγχόμενη από τον χρήστη μεταβιβάζεται ως διαδρομή αρχείου, με αποτέλεσμα το jsPDF να ενσωματώνει στην έξοδο PDF που δημιουργείται το περιεχόμενο του αρχείου.
Πηγή: Parallax
Επηρεάζονται επίσης και άλλες μέθοδοι φόρτωσης αρχείων, συμπεριλαμβανομένων των «addImage», «html» και «addFont», όπως όλοι μπορούν να καλέσουν τη συνάρτηση loadFile.
Σύμφωνα με το jsPDF ενημερωτικό δελτίο ασφαλείαςτο ζήτημα επηρεάζει μόνο τις εκδόσεις Node.js της βιβλιοθήκης, δηλαδή το dist/jspdf.node.js και dist/jspdf.node.min.js αρχεία.
Σε μια λεπτομερή τεχνική έκθεση, η εταιρεία ασφάλειας εφαρμογών Endor Labs λέει ότι ο κίνδυνος εκμετάλλευσης είναι χαμηλός ή ανύπαρκτος εάν οι διαδρομές αρχείων είναι κωδικοποιημένες, προέρχονται από αξιόπιστη διαμόρφωση ή χρησιμοποιούνται αυστηρές λίστες επιτρεπόμενων για εισόδους.
Το CVE-2025-68428 διορθώθηκε στην έκδοση 4.0.0 του jsPDF περιορίζοντας την πρόσβαση στο σύστημα αρχείων από προεπιλογή και βασιζόμενοι στη λειτουργία άδειας Node.js.
Ωστόσο, Endor Labs σημειώνουν οι ερευνητές ότι αυτή η λειτουργία είναι πειραματική στον Κόμβο 20, επομένως συνιστώνται οι εκδόσεις 22.13.0, 23.5.0 ή 24.0.0 και νεότερες.
Μια άλλη προειδοποίηση που πρέπει να λάβετε υπόψη είναι ότι η ενεργοποίηση της σημαίας «–permission», μια λύση που προτείνεται από τους προγραμματιστές, επηρεάζει ολόκληρη τη διαδικασία Node.js, όχι μόνο το jsPDF.
Το Endor Labs υπογραμμίζει επίσης ότι τα υπερβολικά εκτεταμένα δικαιώματα συστήματος αρχείων που προστέθηκαν στη σημαία διαμόρφωσης “–allow-fs-read” αναιρούν την επιδιόρθωση.
πηγή: Endor Labs
Η ομάδα jsPDF συνιστά οι παλαιότερες εκδόσεις του Node να απολυμαίνουν τις διαδρομές που παρέχονται από τον χρήστη πριν τις περάσουν στο jsPDF.
Δεδομένης της ευρείας ανάπτυξης του jsPDF σε πολλά έργα, το CVE-2025-68428 είναι ένας καλός υποψήφιος για ενεργή εκμετάλλευση.
Είναι περίοδος προϋπολογισμού! Πάνω από 300 CISO και ηγέτες ασφάλειας έχουν μοιραστεί πώς σχεδιάζουν, ξοδεύουν και δίνουν προτεραιότητες για το επόμενο έτος. Αυτή η έκθεση συγκεντρώνει τις γνώσεις τους, επιτρέποντας στους αναγνώστες να αξιολογούν στρατηγικές, να προσδιορίζουν τις αναδυόμενες τάσεις και να συγκρίνουν τις προτεραιότητές τους καθώς πλησιάζουν το 2026.
Μάθετε πώς οι κορυφαίοι ηγέτες μετατρέπουν τις επενδύσεις σε μετρήσιμο αντίκτυπο.
VIA: bleepingcomputer.com
