プラットフォーム
php
コンポーネント
stirling-pdf
修正版
2.0.1
Stirling-PDFは、PDFファイルをローカルでホストするWebアプリケーションです。バージョン1.0.0から2.0.0未満のバージョンでは、ファイルアップロードエンドポイントでユーザーが提供したファイル名を適切にサニタイズせずにHTMLに直接レンダリングする脆弱性が存在します。この脆弱性を悪用されると、攻撃者は悪意のあるJavaScriptを含むファイル名を作成し、アップロードユーザーのブラウザで実行させることが可能です。バージョン2.0.0でこの問題は修正されています。
このXSS脆弱性は、攻撃者がStirling-PDFを使用しているユーザーのブラウザ上で任意のJavaScriptコードを実行することを可能にします。これにより、攻撃者はユーザーのCookieを盗み、機密情報を窃取したり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、Webアプリケーションの機能を改ざんしたりする可能性があります。特に、ファイルアップロード機能を頻繁に使用する環境では、この脆弱性の影響は大きくなる可能性があります。攻撃者は、巧妙に細工されたファイル名をアップロードすることで、ユーザーがファイルを開いた際に悪意のあるスクリプトが実行されるように仕向けます。
この脆弱性は、2026年4月17日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。類似のXSS脆弱性は、過去に多くのWebアプリケーションで発見されており、攻撃者による標的型攻撃のリスクも考慮する必要があります。
Organizations using Stirling-PDF for local PDF processing, particularly those with user-facing file upload functionality, are at risk. Shared hosting environments where multiple users have access to the same Stirling-PDF instance are especially vulnerable, as a malicious file uploaded by one user could impact other users.
• php: Examine application logs for unusual file upload activity, specifically looking for filenames containing JavaScript code (e.g., <script>alert('XSS')</script>).
• generic web: Use curl to test file upload endpoints with malicious filenames and observe the response HTML for signs of JavaScript execution.
curl -X POST -F "file=@malicious_file.pdf" http://your-stirling-pdf-instance/upload.php• generic web: Inspect the source code of file upload handling functions for inadequate sanitization of filenames before rendering them in HTML.
disclosure
エクスプロイト状況
EPSS
0.05% (15% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずStirling-PDFをバージョン2.0.0にアップデートすることを推奨します。アップデートできない場合は、ファイルアップロード処理におけるファイル名のサニタイズを厳格に行う必要があります。具体的には、ファイル名に含まれる特殊文字を削除したり、ホワイトリスト方式で許可する文字種を制限したりするなどの対策が考えられます。また、Webアプリケーションファイアウォール（WAF）を導入し、悪意のあるJavaScriptコードを含むファイル名のアップロードを検知・ブロックすることも有効です。ファイルアップロード処理のログを監視し、不審なファイル名やアクセスパターンを検出することも重要です。アップデート後、ファイルアップロード機能が正常に動作することを確認してください。
Stirling-PDF をバージョン 2.0.0 以上にアップデートすることで、XSS の脆弱性を軽減します。このバージョンでは、ファイル読み込み機能におけるファイル名レンダリングの不安全な問題を修正し、ユーザーのブラウザで悪意のある JavaScript コードの実行を防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-33436は、Stirling-PDFのバージョン1.0.0から2.0.0未満に存在するクロスサイトスクリプティング（XSS）脆弱性です。ファイルアップロード時にファイル名を適切にサニタイズせずにHTMLに直接レンダリングするため、悪意のあるJavaScriptコードが実行される可能性があります。
Stirling-PDFのバージョン1.0.0から2.0.0未満を使用している場合は、この脆弱性の影響を受けます。バージョン2.0.0以降を使用している場合は、影響を受けません。
Stirling-PDFをバージョン2.0.0にアップデートすることを推奨します。アップデートできない場合は、ファイルアップロード処理におけるファイル名のサニタイズを厳格に行う必要があります。
現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。
Stirling-PDFの公式アドバイザリは、開発元のWebサイトで確認できます。詳細な情報については、開発元のセキュリティ情報を参照してください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。