Проверка veraPDF обеспечивает проверку PDF/A и PDF/UA, отчеты о функциях и восстановление метаданных. С 1.17.35 по 1.30.2 и 1.31.71 veraPDF-validation содержит уязвимость внешнего объекта XML (XXE) в validation-model/src/main/java/org/verapdf/gf/model/impl/pd/GFPDAcroForm.java в методе getdynamicRender(), где созданный PDF-файл, содержащий вредоносный поток XFA, может вызвать расширение внешнего объекта во время Проверка PDF/UA-1 и разрешение раскрытия локальных файлов или исходящих запросов на стороне сервера. Эта проблема исправлена в версиях 1.30.2 и 1.31.71.
Показать оригинальное описание (EN)
veraPDF validation provides PDF/A and PDF/UA validation, feature reporting, and metadata repair. From 1.17.35 until 1.30.2 and 1.31.71, veraPDF-validation contains an XML External Entity (XXE) vulnerability in validation-model/src/main/java/org/verapdf/gf/model/impl/pd/GFPDAcroForm.java in the getdynamicRender() method, where a crafted PDF containing a malicious XFA stream can cause external entity expansion during PDF/UA-1 validation and allow local file disclosure or outbound server-side requests. This issue is fixed in versions 1.30.2 and 1.31.71.
Характеристики атаки
Последствия
Строка CVSS v4.0