CVE-2025-68428

jsPDF, JavaScript ile PDF oluşturmaya yarayan bir kütüphanedir. Versiyon 4.0.0 öncesinde, node.js derlemesindeki loadFile metodunun ilk argümanının kullanıcı tarafından kontrol edilebilmesi; yerel dosya dahil etme (local file inclusion)/dizin gezginliği (path traversal) sorununa yol açmaktadır. loadFile metoduna temizlenmemiş yollar geçirme imkanı verildiğinde, bir kullanıcı, node işleminin çalıştığı yerel dosya sistemindeki rastgele dosyaların içeriklerini alabilir. Dosya içerikleri, oluşturulan PDF'lere olduğu gibi dahil edilir. Etkilenen diğer metodlar `addImage`, `html` ve `addFont` metodlarıdır. Kütüphanenin yalnızca node.js derlemeleri, yani `dist/jspdf.node.js` ve `dist/jspdf.node.min.js` dosyaları etkilenmektedir. Güvenlik açığı [email protected] sürümünde giderilmiştir. Bu versiyon, varsayılan olarak dosya sistemi erişimini kısıtlamaktadır. Bu semver-major güncellemesi başka herhangi bir kırıcı değişiklik getirmemektedir. Bazı geçici çözümler mevcuttur. Güncel node versiyonlarında jsPDF, üretim ortamında `--permission` bayrağının kullanılmasını önermektedir. Bu özellik v20.0.0 sürümünde deneysel olarak tanıtılmış olup v22.13.0/v23.5.0/v24.0.0 sürümlerinden itibaren kararlıdır. Daha eski node versiyonları için, kullanıcı tarafından sağlanan yolları jsPDF'e aktarmadan önce temizleyin.