平台
windows
组件
foxit-pdf-editor
修复版本
2025.3.1
14.0.3
13.2.3
2025.3.1
CVE-2026-3778 是 Foxit PDF Editor 中的一个安全漏洞，源于其在处理 PDF 文件中的 JavaScript 时未能检测或防御循环引用。当 PDF 页面和注释相互引用形成循环时，通过 SOAP 等 API 进行深度遍历操作可能导致失控的递归，最终耗尽堆栈资源并导致应用程序崩溃。此漏洞影响 Foxit PDF Editor 的版本 ≤ 2025.3。目前尚未发布官方补丁。
CVE-2026-3778 影响 Foxit PDF Editor，暴露了与 JavaScript 中循环 PDF 对象引用处理相关的关键漏洞。应用程序无法检测或阻止这些引用，允许攻击者创建包含相互引用的页面和注释的恶意 PDF 文档。当这些文档通过执行深度遍历的 API（例如 SOAP）进行处理时，可能会触发不受控制的递归、堆栈耗尽和应用程序崩溃。CVSS 严重性评级为 6.2，表明中高风险。Foxit 缺乏官方修复程序加剧了这种情况，需要用户立即关注。
利用 CVE-2026-3778 需要创建专门设计的 PDF 文档。此文档必须包含 JavaScript 以及页面和注释之间的循环引用。然后，攻击者必须诱使受害者打开此文档或使用处理该文档的 API，从而触发递归和应用程序失败。利用的成功取决于受害者的系统配置以及用于处理 PDF 的 API。创建恶意文档的复杂性可能是一个限制因素，但缺乏官方修复程序使此漏洞成为重大风险。
Organizations and individuals using Foxit PDF Editor versions 2025.3 and earlier are at risk. This includes users who frequently handle PDF documents from untrusted sources, particularly those integrated with SOAP or other APIs that perform deep PDF traversal. Shared hosting environments where multiple users share the same instance of Foxit PDF Editor are also at increased risk.
disclosure
漏洞利用状态
EPSS
0.02% (4% 百分位)
CISA SSVC
CVSS 向量
由于 Foxit 未为 CVE-2026-3778 提供修复程序，因此缓解措施侧重于降低风险。强烈建议避免打开来自不可信来源的 PDF 文档。实施附件扫描系统可以在打开文件之前帮助识别潜在的恶意文档。限制使用执行 PDF 文档深度遍历的 API，尤其是那些与外部源交互的 API 至关重要。在 PDF 处理过程中监控系统性能和内存可以帮助检测堆栈耗尽的迹象。一旦发布官方修复程序，请考虑升级到 Foxit PDF Editor 的更新版本。
Actualice Foxit PDF Editor a la última versión disponible. Consulte el boletín de seguridad de Foxit para obtener más detalles e instrucciones específicas de actualización.
漏洞分析和关键警报直接发送到您的邮箱。
这是一种情况，即 PDF 中的对象直接或间接引用自身，从而创建无限循环。
它可能导致内存耗尽和应用程序崩溃，从而可能允许攻击者造成拒绝服务。
目前，CVE-2026-3778 没有官方修复程序可用。
避免打开来自不可信来源的文档，扫描附件，并限制处理 PDF 的 API 的使用。
监控系统性能和内存。内存使用的突然增加可能表明存在攻击。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。