JVNDB-2026-015707

stirlingpdfのstirling pdfにおける複数の脆弱性

Stirling-PDFは、PDFファイルに対する様々な操作を可能にするローカルホスト型のウェブアプリケーションです。バージョン2.0.0未満では、ファイルアップロードのエンドポイントがユーザーが提供したファイル名を無害化せずにinnerHTMLのような安全でない方法でHTMLに直接レンダリングしていました。攻撃者は、悪意のあるJavaScriptを含むファイル名を持つファイルを作成してアップロードし、アップロードするユーザーのブラウザコンテキストで実行される反射型XSSを引き起こす可能性があります。この問題はアプリケーション内の多数のアップロードエンドポイントに影響を与えていました。この問題はバージョン2.0.0で修正されています。

stirlingpdf

• stirling pdf 2.0.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Reflected XSS through crafted filename in file upload functionality  Advisory  Stirling-Tools/Stirling-PDF  GitHub

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]
2. 不適切な入力確認(CWE-20) [その他]
3. クロスサイトスクリプティング(CWE-79) [その他]
4. クロスサイトスクリプティング(CWE-79) [NVD評価]

1. CVE-2026-33436

1. National Vulnerability Database (NVD) : CVE-2026-33436

• [2026年05月15日]
    掲載