CVE-2024-4367
Faltava uma verificação de tipo ao manipular fontes no PDF.js, o que permitiria a execução arbitrária de JavaScript no contexto do PDF.js. Essa...
- Publicado
- 14 de mai. de 2024
- Atualizado
- 12 de mai. de 2026
- Atribuindo CNA
- mozilla
- Evidência observada
- 22 de abr. de 2025
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HAlto · próximos 30 dias
- Percentil
- 99,4%
- Data do modelo
- 13 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Faltava uma verificação de tipo ao manipular fontes no PDF.js, o que permitiria a execução arbitrária de JavaScript no contexto do PDF.js. Essa vulnerabilidade afeta Firefox < 126, Firefox ESR < 115.11 e Thunderbird < 115.11.
Fontes
- PDF.js Arbitrary JavaScript Code ExecutionLaboratório
pdfjs/CVE-2024-4367
PDF.js Arbitrary JavaScript Code Execution (CVE-2024-4367)
Vulhub vulnerability labsCondições declaradas
- lab image version: vulhub/pdfjs:4.1.392(pdfjs/CVE-2024-4367/docker-compose.yml:services.web.image)
Prova de conceito para CVE-2024-4367 que gera um PDF malicioso para explorar a execução arbitrária de JavaScript no PDF.js.
CVE-2024-4367 & CVE-2024-34342 Prova de Conceito
Análise e PoC para CVE-2024-4367: execução arbitrária de JavaScript (XSS) no PDF.js
Laboratório prático para aprender CVE-2024-4367 (RCE no PDF.js do Firefox) com geração de PoC, lançamento de navegador vulnerável e verificação de versão corrigida.
- pdf.js-CVE-2024-4367Scanner
SCAN END POC THE CVE-2024-4367
Odoo ≤17 é vulnerável ao CVE-2024-4367, permitindo execução arbitrária de JavaScript via PDF.js.
POC para a vulnerabilidade CVE-2024-4367 do PDF JS
CVE-2024-4367
Este projeto tem como objetivo servir como uma prova de conceito para demonstrar a exploração da vulnerabilidade na biblioteca PDF.js (pdfjs-dist) relatada em CVE-2024-4367
PoC (Proof of Concept) da CVE-2024-4367 - Vulnerabilidade RCE em libwebp. Demonstração completa incluindo: criação de payloads, cenários de ataque, análise de riscos e servidor Express.js de teste.
- WEAPONIZING-CVE-2024-4367Exploit
CVE-2024-4367 é uma vulnerabilidade crítica (CVSS 9.8) no PDF.js, que permite a execução arbitrária de código JavaScript devido a verificações de tipo insuficientes no objeto FontMatrix dentro de arquivos PDF.
Exploit de prova de conceito para CVE-2024-4367, demonstrando uma vulnerabilidade baseada em PDF com um arquivo POC hospedado para fins de teste e educacionais.
Esta Prova de Conceito (PoC) demonstra a exploração da vulnerabilidade CVE-2024-4367, que envolve ataques de Cross-Site Scripting (XSS).
- PDFJSPoC
Wargame que explora a CVE-2024-4367 no PDF.js para análise educacional de vulnerabilidades e prática de exploração.
CVE-2024-4367 execução arbitrária de js em pdf js
Este projeto destina-se a servir como uma prova de conceito para demonstrar a exploração da vulnerabilidade na biblioteca PDF.js (pdfjs-dist) reportada na CVE-2024-4367
- detect-cve-2024-4367Detecção
Regra de detecção YARA para CVE-2024-4367 de execução arbitrária de javascript no PDF.js
PoC - Prova de Conceito do CVE-2024-4367 em conjunto com o CVE-2023-38831 em um único Script
Prova de conceito de exploit para CVE-2024-4367, demonstrando a vulnerabilidade e fornecendo código de exploração para pesquisa e testes de segurança.
CVE-2024-4367–PDF.js-xss
Laboratório prático para CVE-2024-4367, demonstrando a exploração da vulnerabilidade de renderização de fontes do PDF.js no Firefox. Inclui gerador de PoC, comparação entre código-fonte vulnerável e corrigido.
PDF.js é um visualizador de PDF baseado em JavaScript mantido pela Mozilla. Esta vulnerabilidade permite que um atacante execute código JavaScript arbitrário imediatamente após abrir um arquivo PDF malicioso. Isso afeta todos os usuários do Firefox (<126), pois o Firefox usa o PDF.js para exibir arquivos PDF, mas também afeta gravemente muitos aplicativos baseados na Web e no Electron que usam (indiretamente) o PDF.js para funcionalidade de pré-visualização.
- cve-pdf-hostPoC
PDF hospedeiro para CVE-2024-4367
Milad karimi · multiple · 22 de abr. de 2025
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.