CVE-2026-23907
Açıklama
Bu sorun Apache PDFBox'taki ExtractEmbeddedFiles örneğini etkilemektedir: 2.0.24 ile 2.0.35 arası ve 3.0.0 ile 3.0.6 arası sürümler. ExtractEmbeddedFiles örneği bir yol aşımı (path traversal) zafiyeti (CWE-22) içermektedir çünkü PDComplexFileSpecification.getFilename() üzerinden alınan dosya adı, çıkarma yoluna eklenmektedir. Bu örneği üretim kodlarına kopyalayan kullanıcılar, çıkarma yolunun kabul edilebilir olduğundan emin olmak için kodu gözden geçirmelidir. Örnek buna göre değiştirilmiştir; artık başlangıç yolu ve çıkarma yolları kanonik yollara dönüştürülmekte ve çıkarma yolunun başlangıç yolunu içerdiği doğrulanmaktadır. Dokümantasyon da buna uygun olarak düzenlenmiştir.
Nasıl düzeltilir
- org.apache.pdfbox:pdfbox-examples3.0.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pdfbox-examples | 2.0.24 ≤ v ≤ 2.0.36, 3.0.0 ≤ v ≤ 3.0.7 | — |
| org.apache.pdfbox:pdfbox-examplesMaven | 2.0.24 ≤ v < 3.0.7 | 3.0.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.