CVE-2024-4367: Произвольное выполнение JavaScript в PDF.js

Обзор

CVE-2024-4367 — это критическая уязвимость в библиотеке PDF.js, которая позволяет выполнять произвольный JavaScript в браузере пользователя, что приводит к атакам с использованием межсайтового скриптинга (XSS). Это затрагивает Firefox < 126, Firefox ESR < 115.11 и Thunderbird < 115.11.

Использование

Node в /app

npm install

npm start

PoC

• python3 poc.py <payload>
• Пример: python3 poc.py "alert(1)"

Демонстрационные видео

• Демо 1 (Firefox)
• Демо 2 (pdfjs-dist)

Меры по смягчению

• Обновите PDF.js до версии выше 4.1.392.
• Убедитесь, что ваш Firefox, Firefox ESR или Thunderbird обновлён до последних версий с исправлениями безопасности.

Подробный анализ

Для подробного анализа CVE-2024-4367 читайте здесь.

Ссылки на PoC

• https://github.com/LOURC0D3/CVE-2024-4367-PoC
• https://github.com/s4vvysec/CVE-2024-4367-POC