vivz13/cve-2025-55853서버 측 요청 위조를 통한 로컬 파일 포함
SoftVision webPDF 10.0.2 이전 버전은 서버 측 요청 위조(SSRF)에 취약합니다.
CVE-2025-55853에 대한 이 PoC는 파일을 PDF로 변환하는 데 사용되는 webPDF 도구(webPDF.)에서 서버 측 요청 위조를 시연합니다. PDF 변환 기능은 업로드된 파일에서 내부 또는 외부 리소스가 요청되는지 확인하지 않으며 http:// 및 file:///와 같은 프로토콜을 허용합니다. 이로 인해 공격자는 애플리케이션에 XML 또는 HTML 파일을 업로드할 수 있으며, PDF로 렌더링되면 내부 포트 스캔 및 로컬 파일 포함(LFI)이 가능합니다.
<html>
<head></head>
<body>
<a:script xmlns:a="http://www.w3.org/1999/xhtml"></a:script>
</body>
</html>
webPDF 버전: 10.0.2 이전