CVE-2026-16770

Perl için PDF::WebKit 1.2 ve önceki sürümleri, kaynak belgedeki meta etiketleri aracılığıyla wkhtmltopdf üzerinde argüman enjeksiyonuna izin verir. Bir HTML dizesi veya dosya kaynağı için kurucu yöntem, belge başlığındaki her bir <meta name="pdf-webkit-KEY" content="VALUE"> öğesini _pdf_webkit_meta_tags üzerinden toplar ve her birini bir wkhtmltopdf komut satırı seçeneğine dönüştürür. KEY, --[a-z0-9-]+ ile eşleşen bir seçenek adına normalize edilir ancak bir izin listesine karşı kontrol edilmez; VALUE ise onu takip eden argüman olarak değiştirilmeden aktarılır ve "yes" şeklindeki bir VALUE değeri seçeneği yalın bir bayrak olarak yayınlar. BUILD, meta türevli seçenekleri en son birleştirir, böylece bu seçenekler modül varsayılanlarını ve new yöntemine aktarılan seçenekleri de geçersiz kılar. --enable-local-file-access ve --cookie-jar gibi anahtarlara bu şekilde erişilebilir. İşleyici, bir kabuk komutu yerine bir argüman listesiyle yürütüldüğünden, bu durum kabuk enjeksiyonu değil, argüman enjeksiyonudur. Güvenilmeyen HTML içeriğini işleyen herhangi bir çağrıcı, yerel dosyaların sonuç PDF'sine okunmasını veya seçilen bir yola yazılmasını sağlayan seçenekler dahil olmak üzere, işleyicinin seçeneklerinin belge tarafından belirlenmesine ve uygulama tarafından ayarlananların geçersiz kılınmasına izin vermiş olur. Bir URL kaynağı taranmaz ve önerilen bir bağımlılık olan XML::LibXML yüklü olmadığında tarama atlanır.