react-pdf 的 PDF.js 在打开恶意 PDF 时容易受到任意 JavaScript 执行的影响（CVE-2024-34342）

CVE编号

CVE-2024-34342

利用情况

暂无

补丁情况

N/A

披露时间

2024-05-07

漏洞描述

React-PDF在React应用中显示PDF。如果使用PDF.js加载恶意PDF，并且PDF.js配置中的`isEvalSupported`设置为`true`（默认值），则会在托管域的上下文中执行不受限制的受攻击者控制的JavaScript。此漏洞已在7.7.3和8.0.2中修复。

解决建议

"将组件 react-pdf 升级至 8.0.2 及以上版本""将组件 react-pdf 升级至 7.7.3 及以上版本"

参考链接
https://github.com/mozilla/pdf.js/commit/85e64b5c16c9aaef738f421733c12911a441cec6
https://github.com/mozilla/pdf.js/pull/18015
https://github.com/mozilla/pdf.js/security/advisories/GHSA-wgrm-67xf-hhpq
https://github.com/wojtekmaj/react-pdf/commit/208f28dd47fe38c33ce4bac4205b2b0...
https://github.com/wojtekmaj/react-pdf/commit/671e6eaa2e373e404040c13cc6b668f...
https://github.com/wojtekmaj/react-pdf/security/advisories/GHSA-87hq-q4gp-9wr4

CVSS3评分 7.1

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 低
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:L

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com