JVNDB-2026-007444

Apache Software FoundationのPDFBoxにおけるパストラバーサルの脆弱性

この問題はApache PDFBoxのExtractEmbeddedFilesの例に影響を及ぼします。対象バージョンは2.0.24から2.0.35、及び3.0.0から3.0.6までです。ExtractEmbeddedFilesの例にはパス・トラバーサルの脆弱性（CWE-22）が存在します。これはPDComplexFileSpecification.getFilename()から取得したファイル名が抽出パスにそのまま付加されるためです。生産環境のコードにこの例をコピーして使用しているユーザーは、抽出パスが安全かどうかを必ず確認しなければなりません。例は修正されており、初期パスと抽出パスを正規化したパスに変換し、抽出パスが初期パスを含んでいることを検証するようになっています。ドキュメントもそれに合わせて調整されています。

Apache Software Foundation

• PDFBox 2.0.24 から 2.0.35
• PDFBox 3.0.0 から 3.0.7

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-23907: Apache PDFBox Examples: Path Traversal in PDFBox ExtractEmbeddedFiles Example Code-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-23907: Apache PDFBox Examples: Path Traversal in PDFBox ExtractEmbeddedFiles Example Code

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-23907

1. National Vulnerability Database (NVD) : CVE-2026-23907

• [2026年03月16日]
    掲載