vivz13/cve-2025-55853サーバーサイドリクエストフォージェリを介したローカルファイルインクルージョン
SoftVision webPDF 10.0.2 未満は、サーバーサイドリクエストフォージェリ (SSRF) の脆弱性があります。
CVE-2025-55853 のこの PoC は、ファイルを PDF に変換するために使用される webPDF ツール (webPDF.) におけるサーバーサイドリクエストフォージェリ (SSRF) を実証します。PDF 変換機能は、アップロードされたファイル内で内部リソースまたは外部リソースが要求されているかをチェックせず、http:// や file:/// などのプロトコルを許可します。これにより、攻撃者は XML または HTML ファイルをアプリケーションにアップロードでき、PDF にレンダリングされると内部ポートスキャンとローカルファイルインクルージョン (LFI) が可能になります。
<html>
<head></head>
<body>
<a:script xmlns:a="http://www.w3.org/1999/xhtml"></a:script>
</body>
</html>
webPDF のバージョン: 10.0.2 未満