Stirling-PDF: XSS reflejado a través de un nombre de archivo manipulado en la funcionalidad de carga de archivos

La vulnerabilidad XSS en Stirling-PDF permite a un atacante ejecutar código JavaScript arbitrario en el contexto del usuario que realiza la carga del archivo. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. Un atacante podría, por ejemplo, inyectar código que capture las credenciales de acceso del usuario, comprometiendo así la seguridad de la aplicación y los datos asociados. La falta de sanitización de los nombres de archivo en las funciones de carga es la causa principal de esta vulnerabilidad, permitiendo la inyección directa de código HTML y JavaScript.

Organizations using Stirling-PDF for local PDF processing, particularly those with user-facing file upload functionality, are at risk. Shared hosting environments where multiple users have access to the same Stirling-PDF instance are especially vulnerable, as a malicious file uploaded by one user could impact other users.

• php: Examine application logs for unusual file upload activity, specifically looking for filenames containing JavaScript code (e.g., <script>alert('XSS')</script>). • generic web: Use curl to test file upload endpoints with malicious filenames and observe the response HTML for signs of JavaScript execution.

curl -X POST -F "file=@malicious_file.pdf" http://your-stirling-pdf-instance/upload.php

• generic web: Inspect the source code of file upload handling functions for inadequate sanitization of filenames before rendering them in HTML.

1. 2026-04-17Disclosure

   disclosure

1. Reservado2026-03-19
2. Publicada2026-04-17
3. Modificada2026-04-20
4. EPSS actualizado2026-04-25

La mitigación principal para CVE-2026-33436 es actualizar Stirling-PDF a la versión 2.0.0 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y sanitización rigurosa de todos los nombres de archivo antes de su uso en la generación de HTML. Además, se puede considerar el uso de un Web Application Firewall (WAF) para filtrar el tráfico malicioso y bloquear intentos de inyección de código. Es crucial revisar la configuración de la aplicación para asegurar que no se estén utilizando funciones que puedan ser explotadas para la inyección de código.