CVE-2026-25755
jsPDF tiene Inyección de Objetos PDF mediante Entrada No Saneada en el Método addJS
- Publicado
- 19 feb 2026
- Actualizado
- 7 sept 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 56,3 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
jsPDF es una librería para generar PDFs en JavaScript. Antes de la versión 4.2.0, el control del usuario sobre el argumento del método `addJS` permite a un atacante inyectar objetos PDF arbitrarios en el documento generado. Al elaborar una carga útil que escapa el delimitador de cadena de JavaScript, un atacante puede ejecutar acciones maliciosas o alterar la estructura del documento, lo que afecta a cualquier usuario que abra el PDF generado. La vulnerabilidad ha sido corregida en [email protected]. Como solución alternativa, escape los paréntesis en el código JavaScript proporcionado por el usuario antes de pasarlos al método `addJS`.
Fuentes
CVE-2026-25755 Una vulnerabilidad crítica de inyección de objetos PDF en jsPDF permite a los atacantes inyectar objetos PDF arbitrarios a través de la función addJS(), lo que posibilita la evasión del sandbox de AcroJS y la ejecución automática de scripts al abrir los PDF.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.