CVE-2026-77581
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
BentoPDF to zestaw narzędzi PDF po stronie klienta, który można hostować samodzielnie. W wersji 2.8.6 i wcześniejszych certyfikat i sygnatura czasowa serwera proxy CORS w pliku cloudflare/cors-proxy-worker.js używa metody isPrivateOrReservedHost() do sprawdzania podanej nazwy hosta niezależnie od rozdzielczości DNS używanej przez fetch(targetUrl), umożliwiając kontrolowanej przez osobę atakującą nazwę hosta przekształcenie się w wewnętrzne lub zarezerwowane miejsce docelowe po sprawdzeniu. Ścieżka przypominająca certyfikat może spełniać ALLOWED_PATH_PATTERNS, a klienci bezpośredni mogą sfałszować nagłówek Origin zorientowany na przeglądarkę. Wdrożenia bez PROXY_SECRET pomijają opcjonalną kontrolę podpisu, podczas gdy podpis jest środkiem zapobiegającym nadużyciom, a nie granicą bezpieczeństwa miejsca docelowego. Serwer proxy ma limit odpowiedzi wynoszący 10 MB i może przekazywać treści odpowiedzi z osiągalnych miejsc docelowych. W tym poradniku wskazano, że dotyczy to zarówno oficjalnego wdrożenia procesu roboczego, jak i instancji hostowanych samodzielnie, w których środowisko wykonawcze procesu roboczego może dotrzeć do miejsc docelowych wewnętrznych lub zarezerwowanych. Ta luka została naprawiona w wersji 2.8.7.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/alam00000/bentopdf/commit/45496fcd2ed6e02dcdde0d3839cc5024c091760c
- https://github.com/alam00000/bentopdf/commit/58cd1a8893bfe06e4a59a72adc2e7db00a8b9266
- https://github.com/alam00000/bentopdf/releases/tag/v2.8.7
- https://github.com/alam00000/bentopdf/security/advisories/GHSA-5xjf-rr5x-pcfj
- https://github.com/alam00000/bentopdf/security/advisories/GHSA-5xjf-rr5x-pcfj
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org