La herramienta Markdown-to-PDF pasa el Markdown proporcionado por el usuario a través de markdown-it con html: true e inyecta la salida renderizada directamente en el DOM mediante innerHTML sin saneamiento. Un atacante que entregue un archivo .md manipulado logra la ejecución arbitraria de JavaScript en el origen de BentoPDF.

Debido a que BentoPDF es una aplicación completamente del lado del cliente, cada herramienta (Comprimir PDF, Fusionar PDF, Dividir PDF, etc.) carga y procesa archivos directamente en el navegador de la víctima. Por lo tanto, un solo XSS es suficiente para exfiltrar silenciosamente todos los documentos que la víctima abra en cualquier herramienta durante la sesión.

Impacto

• Exfiltración silenciosa de archivos. Cada archivo que la víctima abra en cualquier herramienta de BentoPDF durante la sesión (PDF, imagen, documento) se envía mediante POST al servidor del atacante.
• Secuestro de la cadena de suministro WASM. El payload sobrescribe localStorage['bentopdf:wasm-providers'], redirigiendo las descargas de los módulos WASM de PyMuPDF, Ghostscript y cpdf a un host controlado por el atacante.
• Persistencia entre páginas. Una ventana emergente oculta de 1×1 consulta window.opener y reinyecta los enganches de archivos cada vez que la víctima navega a una herramienta diferente, manteniendo el acceso durante toda la sesión.
• Envenenamiento de la caché del Service Worker (solo HTTPS). En implementaciones HTTPS, el payload registra un Service Worker y envenena la caché bentopdf-*, añadiendo un enganche de exfiltración a cada archivo /assets/*.js servido al navegador más allá de la sesión actual.

Detalles de la Vulnerabilidad

1. Paso directo de HTML sin procesar en markdown-it (CWE-79)

src/js/utils/markdown-editor.ts (líneas 271–272):

Etiquetas como ``, <svg>, <details> y cualquier atributo de manejador de eventos (onerror, onload, ontoggle) se reenvían al DOM tal cual.

2. Inyección de innerHTML sin saneamiento (CWE-116)

src/js/utils/markdown-editor.ts (líneas 689–694):

No se aplica ninguna biblioteca de saneamiento entre markdown-it e innerHTML. El navegador analiza la cadena inyectada, encuentra el manejador de eventos en línea y lo ejecuta inmediatamente.

3. Sin Content-Security-Policy

nginx.conf se distribuye sin cabecera Content-Security-Policy. El JavaScript inyectado puede cargar libremente scripts externos, realizar solicitudes fetch() a cualquier host y abrir ventanas emergentes. Una CSP restrictiva habría impedido la etapa de carga de scripts externos incluso con el sumidero intacto.

Prueba de Concepto

Inicio Rápido

Envía poc_report.md a la víctima y pídele que lo abra en BentoPDF → Markdown-to-PDF. El payload se activa en el momento en que se renderiza la vista previa, y todos los archivos que la víctima suba en el futuro se exfiltran al servidor del atacante.

Opciones

Demostración

1. Servidor del atacante iniciado con --lhost y --lport. El poc_report.md malicioso se genera automáticamente.

2. La víctima abre la herramienta Markdown-to-PDF en BentoPDF.

3. La víctima carga poc_report.md. La vista previa se renderiza, `` no puede cargarse y se activa onerror. poc_payload.js se obtiene del servidor del atacante sin que ninguna CSP lo bloquee.

4. El payload ejecuta sus cuatro etapas: secuestro del proveedor WASM mediante localStorage, ventana emergente de monitoreo creada, enganches de FileReader y de entrada de archivos instalados en la página actual.

5. La víctima navega a Comprimir PDF. La ventana emergente detecta la navegación y reinyecta los enganches en la nueva página.

6. La víctima carga un PDF. La herramienta lo comprime normalmente. Los bytes del archivo ya se enviaron mediante POST al servidor del atacante.

7. Salida del servidor del atacante de una ejecución verificada:

8. El archivo exfiltrado se abre como un PDF completo y válido, idéntico al original.

Etapas del Payload

El payload incrustado en poc.py ejecuta cuatro etapas en secuencia:

Corrección

Incluida en BentoPDF v2.8.3. El desarrollador auditó el código más allá del sumidero reportado originalmente y abordó múltiples vectores relacionados:

1. DOMPurify aplicado en los tres sumideros de innerHTML en markdown-editor.ts, incluida la ruta SVG de Mermaid que usaba securityLevel: 'loose' y se descubrió que eludía el primer saneador.
2. Mermaid ahora se ejecuta con securityLevel: 'strict' y la salida SVG se vuelve a sanear con el perfil SVG de DOMPurify.
3. XSS en file.name escapado en aproximadamente 8 páginas de herramientas (Deskew, Form Filler, Remove Annotations, etc.) donde los nombres de archivo se concatenaban previamente en HTML sin sanear.
4. Lista blanca de proveedores WASM introducida: las URL no confiables en localStorage['bentopdf:wasm-providers'] se descartan al cargar.
5. Versión de la caché del Service Worker incrementada con una lista de hosts confiables consciente de la integridad.
6. Conjunto completo de cabeceras de seguridad aplicado en nginx.conf, incluida Content-Security-Policy.

Corrección mínima para el sumidero reportado originalmente:

Cabecera CSP añadida en nginx.conf:

Cronología

Referencias

• Repositorio oficial de BentoPDF
• Notas de la versión de BentoPDF v2.8.3
• CWE-79: Neutralización incorrecta de la entrada durante la generación de páginas web
• CWE-116: Codificación o escape incorrecto de la salida
• Notas de seguridad de markdown-it sobre html: true
• DOMPurify
• MDN: Content Security Policy

Aviso Legal

Este material se proporciona únicamente con fines de pruebas de seguridad autorizadas y educativos. Úsalo solo contra instancias de BentoPDF que poseas o para las que tengas permiso escrito explícito para probar. El acceso no autorizado a sistemas informáticos es ilegal. El autor no asume ninguna responsabilidad por el mal uso.

Licencia

MIT