CVE-2024-4367 和 CVE-2024-34342：PDF.js 中的任意 JavaScript 执行

PDF.js 在处理字体时缺少类型检查，允许在 PDF.js 上下文中执行任意 JavaScript。该漏洞影响 Firefox < 126、Firefox ESR < 115.11 和 Thunderbird < 115.11。

如果使用 pdf.js 加载恶意 PDF，并且 PDF.js 配置为 isEvalSupported 设置为 true（默认值），则攻击者控制的不受限制的 JavaScript 将在宿主域的上下文中执行。

python3 CVE-2024-4367.py "alert(document.domain)"

PoC_JS

python3 CVE-2024-4367.py "require('child_process').exec('open -a /Applications/Calculator.app');"

PoC_OS

这不是我发现的漏洞，我只是为其制作了一个 PoC。

参考