CVE-2024-52800
Potencial vulnerabilidad de XXE (Inyección de Entidades Externas XML) en veraPDF CLI
- Publicado
- 29 nov 2024
- Actualizado
- 2 dic 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 5 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 63,9 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
veraPDF es una librería de validación PDF/A de código abierto. La ejecución de comprobaciones de políticas mediante archivos Schematron personalizados a través de la CLI invoca una transformación XSL que, en teoría, puede provocar una vulnerabilidad de ejecución remota de código (RCE). Esto no afecta a la funcionalidad estándar de validación y comprobaciones de políticas, que son los casos de uso más comunes de veraPDF. La mayoría de los usuarios de veraPDF no insertan ningún código XSLT personalizado en los perfiles de políticas, que se basan en la sintaxis de Schematron en lugar de en transformaciones XSL directas. Los usuarios que sí lo hacen deben cargar únicamente archivos de políticas personalizados de fuentes en las que confíen. Este problema aún no se ha solucionado. Se recomienda a los usuarios que tengan cuidado con el código XSLT hasta que haya un parche disponible.
Fuentes
1GHSA-4cx5-89vm-833x/CVE-2024-52800
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.