CVE-2024-4367: PDF.js में मनमाना जावास्क्रिप्ट निष्पादन

अवलोकन

CVE-2024-4367 PDF.js लाइब्रेरी में एक गंभीर भेद्यता है जो उपयोगकर्ता के ब्राउज़र में मनमाना जावास्क्रिप्ट निष्पादन की अनुमति देती है, जिससे क्रॉस-साइट स्क्रिप्टिंग (XSS) हमले होते हैं। यह Firefox < 126, Firefox ESR < 115.11, और Thunderbird < 115.11 को प्रभावित करता है।

उपयोग

/app में Node

npm install

npm start

PoC

• python3 poc.py <payload>
• उदाहरण: python3 poc.py "alert(1)"

डेमो वीडियो

• डेमो 1 (Firefox)
• डेमो 2 (pdfjs-dist)

शमन

• PDF.js को संस्करण 4.1.392 से ऊपर अपडेट करें।
• सुनिश्चित करें कि आपका Firefox, Firefox ESR, या Thunderbird नवीनतम सुरक्षा पैच के साथ अप-टू-डेट है।

विस्तृत विश्लेषण

CVE-2024-4367 के व्यापक विश्लेषण के लिए, यहाँ पढ़ें।

PoC संदर्भ

• https://github.com/LOURC0D3/CVE-2024-4367-PoC
• https://github.com/s4vvysec/CVE-2024-4367-POC