CVE-2026-75529

Pandora, PDF indirme işlevselliğinde kalıcı siteler arası betik çalıştırma (XSS) güvenlik açığından etkilenmektedir. /task-download/<task_id>/.../pdf uç noktası, gönderilen dosyanın PDF olup olmadığını Pandora'nın içeriğe dayalı dosya türü algılamasını kullanarak doğrular, ancak daha önce dosyayı MIME türünü açıkça belirtmeden veya ek olarak indirilmeye zorlamadan send_file(task.file.path) kullanarak döndürüyordu. Flask, bir yol sağlandığında yanıt MIME türünü dosya adından belirlediğinden, bir saldırgan içeriği Pandora tarafından PDF olarak tanınan, ancak dosya adı veya uzantısı indirme uç noktasının dosyayı farklı, potansiyel olarak etkin bir MIME türüyle döndürmesine neden olan bir dosya gönderebilirdi. Bu nedenle özel olarak hazırlanmış bir PDF/polyglot dosyası satır içi olarak sunulabilir ve mağdurun tarayıcısı tarafından HTML veya başka bir yürütülebilir web biçimi olarak yorumlanabilir. Gönderilen analize erişimi olan bir mağdur PDF indirme bağlantısını izlerse, saldırgan tarafından kontrol edilen betik Pandora uygulamasının güvenlik bağlamında yürütülebilir ve potansiyel olarak mağdurun oturumunu kullanarak uygulama verilerine veya eylemlerine erişime izin verebilir. Yama, PDF indirmelerini açıkça Content-Type: application/pdf ile döndürerek, Content-Disposition: attachment değerini zorlayarak ve görev UUID'sine dayalı güvenilir bir .pdf dosya adı atayarak sorunu önler.