CVE-2026-33929

Apache PDFBox Examples proqramında məhdudlaşdırılmış kataloga yol adının yanlış məhdudlaşdırılması ('Path Traversal') zəifliyi aşkar edilmişdir. Bu problem Apache PDFBox-dakı ExtractEmbeddedFiles nümunəsinə təsir edir: 2.0.24-dən 2.0.36-ya qədər və 3.0.0-dan 3.0.7-yə qədər olan versiyalarda. İstifadəçilərə mümkün olduqda 2.0.37 və ya 3.0.8 versiyasına yeniləmək tövsiyə olunur. Həmin vaxta qədər onlar GitHub PR 427-də təqdim olunan düzəlişi tətbiq etməlidirlər. ExtractEmbeddedFiles nümunəsi CVE-2026-23907-də qeyd olunan path traversal zəifliyini (CWE-22) ehtiva edirdi. Lakin 2.0.36 və 3.0.7 buraxılışlarındakı dəyişiklik fayl yolu ayırıcısını nəzərə almadığı üçün qüsurludur. Buna görə də, /home/ABC qovluğuna yazı hüququ olan istifadəçi, zərərli PDF sənədi nəticəsində /home/ABC ilə başlayan hər hansı bir yola (məsələn, "/home/ABCDEF") yazı cəhdi ilə qarşılaşa bilər. Bu nümunəni öz istehsalat kodlarına kopyalayan istifadəçilər qeyd olunan dəyişikliyi tətbiq etməlidirlər. Nümunə müvafiq şəkildə dəyişdirilmişdir və layihə repozitoriyasında mövcuddur.