CVE-2025-68428

सारांश

jsPDF JavaScript में PDF जनरेट करने के लिए एक लाइब्रेरी है। संस्करण 4.0.0 से पहले, node.js बिल्ड में loadFile विधि के पहले तर्क पर उपयोगकर्ता का नियंत्रण स्थानीय फ़ाइल समावेश/पाथ ट्रैवर्सल की अनुमति देता है। loadFile विधि में अस्वच्छित पथ पास करने की संभावना मिलने पर, एक उपयोगकर्ता स्थानीय फ़ाइल सिस्टम में मौजूद किसी भी फ़ाइल की सामग्री प्राप्त कर सकता है जिसमें node प्रक्रिया चल रही होती है। फ़ाइल सामग्री उत्पन्न की गई PDF में शब्दशः शामिल कर दी जाती है। अन्य प्रभावित विधियाँ `addImage`, `html`, और `addFont` हैं। केवल लाइब्रेरी के node.js बिल्ड प्रभावित होते हैं, अर्थात् `dist/jspdf.node.js` और `dist/jspdf.node.min.js` फ़ाइलें। यह भेद्यता [email protected] में ठीक कर दी गई है। यह संस्करण डिफ़ॉल्ट रूप से फ़ाइल सिस्टम तक पहुँच को प्रतिबंधित करता है। यह semver-major अपडेट कोई अन्य ब्रेकिंग परिवर्तन नहीं लाता है। कुछ वर्कअराउंड उपलब्ध हैं। हाल के node संस्करणों के साथ, jsPDF उत्पादन में `--permission` फ़्लैग का उपयोग करने की सलाह देता है। यह सुविधा v20.0.0 में प्रयोगात्मक रूप से पेश की गई थी और v22.13.0/v23.5.0/v24.0.0 से स्थिर है। पुराने node संस्करणों के लिए, उपयोगकर्ता द्वारा प्रदान किए गए पथों को jsPDF में पास करने से पहले स्वच्छ करें।

• CVE-2025-68428_PoCPoC

  CVE-2025-68428 अवधारणा प्रमाण