CVE-2026-33436 描述了 Stirling-PDF 应用程序中的跨站脚本攻击 (XSS) 漏洞。该漏洞允许攻击者通过上传包含恶意 JavaScript 代码的文件名来执行恶意脚本，从而可能窃取敏感信息或劫持用户会话。此问题影响 Stirling-PDF 版本 1.0.0 到 2.0.0 之间的所有版本，已在 2.0.0 版本中修复。
攻击者可以利用此 XSS 漏洞，在受害用户的浏览器上下文中执行任意 JavaScript 代码。这可能导致攻击者窃取用户的 Cookie 和会话令牌，从而完全控制用户的帐户。攻击者还可以利用此漏洞来重定向用户到恶意网站，或在用户的浏览器中显示虚假信息。由于文件上传功能通常用于处理用户上传的数据，因此此漏洞的潜在影响非常大，可能导致数据泄露和系统被攻陷。攻击者可以通过精心构造的文件名，绕过任何输入验证机制，直接将恶意代码注入到 HTML 输出中。
该漏洞已公开披露，并且可能存在公开的利用代码。目前尚无关于该漏洞被积极利用的报告，但由于其易于利用，建议尽快采取缓解措施。该漏洞被评定为低危，但如果攻击者能够成功利用该漏洞，可能会造成严重损害。
Organizations using Stirling-PDF for local PDF processing, particularly those with user-facing file upload functionality, are at risk. Shared hosting environments where multiple users have access to the same Stirling-PDF instance are especially vulnerable, as a malicious file uploaded by one user could impact other users.
• php: Examine application logs for unusual file upload activity, specifically looking for filenames containing JavaScript code (e.g., <script>alert('XSS')</script>).
• generic web: Use curl to test file upload endpoints with malicious filenames and observe the response HTML for signs of JavaScript execution.
curl -X POST -F "file=@malicious_file.pdf" http://your-stirling-pdf-instance/upload.php• generic web: Inspect the source code of file upload handling functions for inadequate sanitization of filenames before rendering them in HTML.
disclosure
漏洞利用状态
EPSS
0.05% (15% 百分位)
CISA SSVC
最有效的缓解措施是立即升级到 Stirling-PDF 2.0.0 或更高版本。如果无法立即升级，可以尝试以下临时缓解措施：严格审查所有上传的文件名，并删除任何包含可疑字符或 JavaScript 代码的文件名。实施严格的输入验证和输出编码，以防止恶意代码注入。配置 Web 应用程序防火墙 (WAF) 以检测和阻止包含恶意 JavaScript 代码的文件上传请求。在服务器端实施严格的文件类型验证，只允许上传预期的文件类型。
将 Stirling-PDF 更新到 2.0.0 或更高版本以缓解 XSS 漏洞。此版本修复了文件上传功能中文件名不安全渲染的问题，防止恶意 JavaScript 代码在用户浏览器中执行。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-33436 是 Stirling-PDF 1.0.0 到 2.0.0 之间的跨站脚本攻击 (XSS) 漏洞，攻击者可以通过构造包含恶意 JavaScript 的文件名上传文件来利用此漏洞。
如果您正在使用 Stirling-PDF 1.0.0 到 2.0.0 版本的任何一个版本，那么您就受到此漏洞的影响。
最有效的修复方法是立即升级到 Stirling-PDF 2.0.0 或更高版本。
目前尚无关于该漏洞被积极利用的报告，但由于其易于利用，建议尽快采取缓解措施。
请访问 Stirling-PDF 的官方网站或 GitHub 仓库，查找有关此漏洞的公告和修复信息。
CVSS 向量