プラットフォーム
windows
コンポーネント
foxit-pdf-editor
修正版
2025.3.1
14.0.3
13.2.3
2025.3.1
CVE-2026-3778 は、Foxit PDF Editor において、PDF 文書内の JavaScript 処理において循環参照を適切に検出・防御しない脆弱性です。この脆弱性を悪用されると、PDF 内のページや注釈が互いに参照し合うループ構造を持つ文書を、SOAP などの API を介して処理する際に、制御不能な再帰が発生し、スタックの枯渇やアプリケーションのクラッシュを引き起こす可能性があります。影響を受けるバージョンは Foxit PDF Editor 2025.3 以前です。現時点では公式な修正パッチは提供されていません。
CVE-2026-3778 は Foxit PDF Editor に影響を与え、JavaScript 内の循環 PDF オブジェクト参照の処理に関連する重要な脆弱性を明らかにします。アプリケーションはこれらの参照を検出し、ガードしないため、攻撃者は互いに参照し合うページと注釈を含む悪意のある PDF ドキュメントを作成できます。これらのドキュメントを、深いトラバースを実行する API (例: SOAP) を通して処理すると、制御不能な再帰、スタックの枯渇、アプリケーションのクラッシュが発生する可能性があります。CVSS 重度は 6.2 で、中程度から高いリスクを示します。Foxit からの公式な修正プログラムがないことは状況を悪化させ、ユーザーの即時対応が必要です。
CVE-2026-3778 の悪用には、特別に作成された PDF ドキュメントの作成が必要です。このドキュメントには、JavaScript と、ページと注釈間の循環参照が含まれている必要があります。攻撃者は次に、被害者をこのドキュメントを開かせたり、ドキュメントを処理する API を使用させたりして、再帰とアプリケーションの失敗を引き起こす必要があります。悪用の成功は、被害者のシステム構成と PDF を処理するために使用される API に依存します。悪意のあるドキュメントの作成の複雑さは制限要因になる可能性がありますが、公式な修正プログラムがないため、この脆弱性は重大なリスクとなります。
Organizations and individuals using Foxit PDF Editor versions 2025.3 and earlier are at risk. This includes users who frequently handle PDF documents from untrusted sources, particularly those integrated with SOAP or other APIs that perform deep PDF traversal. Shared hosting environments where multiple users share the same instance of Foxit PDF Editor are also at increased risk.
disclosure
エクスプロイト状況
EPSS
0.02% (4% パーセンタイル)
CISA SSVC
Foxit が CVE-2026-3778 の修正プログラムを提供していないため、軽減策はリスクの低減に焦点を当てています。信頼できないソースからの PDF ドキュメントを開かないことを強くお勧めします。ファイルの添付ファイルをスキャンするシステムを実装することで、潜在的に悪意のあるドキュメントを識別するのに役立ちます。外部ソースとやり取りする API の使用を制限することが重要です。PDF 処理中のシステムパフォーマンスとメモリを監視することで、スタックの枯渇の兆候を検出するのに役立ちます。公式な修正プログラムがリリースされたら、Foxit PDF Editor のより新しいバージョンへのアップグレードを検討してください。
Actualice Foxit PDF Editor a la última versión disponible. Consulte el boletín de seguridad de Foxit para obtener más detalles e instrucciones específicas de actualización.
脆弱性分析と重要アラートをメールでお届けします。
これは、PDF 内のオブジェクトが、直接的または間接的に自分自身を参照し、無限ループを作成する状況です。
メモリの枯渇とアプリケーションのクラッシュにつながる可能性があり、攻撃者がサービス拒否を引き起こす可能性があります。
現在、CVE-2026-3778 の公式な修正プログラムは利用できません。
信頼できないソースからのドキュメントを開かないでください。添付ファイルをスキャンし、PDF を処理する API の使用を制限してください。
システムパフォーマンスとメモリを監視します。メモリ使用量の急激な増加は、攻撃を示している可能性があります。
CVSS ベクトル