xhtml2pdf: OS-Command-Injection in startViewer über Dateinamen
Zusammenfassung
xhtml2pdf vor Version 0.2.19 übergibt Dateinamen ungeprüft an os.system in der Funktion pisa.startViewer(). Ein Angreifer, der eine Eingabedatei mit einem präparierten Namen mit Shell-Metazeichen bereitstellen kann, kann Betriebssystembefehle mit den Rechten des Benutzers ausführen, der das Werkzeug pisa aufruft. Voraussetzung ist, dass das Kommandozeilenwerkzeug pisa mit -s/--start-viewer auf eine solche Datei ausgeführt wird.
Betroffen
- xhtml2pdf-Versionen vor 0.2.19
- Frühester betroffener Stand: Unbekannt.
Behoben in
- Version 0.2.19 oder neuer
Umgehung
- Führen Sie pisa nicht mit -s/--start-viewer auf Dateinamen aus, die Benutzer oder externe Systeme steuern.
- Betreiben Sie xhtml2pdf-Prozesse mit einem Konto mit minimalen Rechten.
- Ein Workaround des Herstellers ist nicht bekannt; das Aktualisieren ist die Behebung.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Aktualisieren Sie xhtml2pdf auf Version 0.2.19 oder neuer, einschliesslich der mit pip in virtuellen Umgebungen und Containern installierten Kopien.
- Prüfen Sie Distributionspakete und bestätigen Sie die gepatchten Versionen beim Distributor, da einige Tracker noch ältere Versionen auflisten.
- Prüfen Sie Skripte und CI-Jobs, die pisa mit -s aufrufen, entfernen Sie die Option oder validieren Sie die Dateinamen.
- Überwachen Sie unerwartete Kindprozesse, die von Python-Prozessen gestartet werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- xhtml2pdf release v0.2.19 github.com
- Fix commit f86380d github.com
- Fix pull request #835 github.com
- Vulnerable code in pisa.py at v0.2.18 github.com
- OSV Debian entry osv.dev
- Ubuntu security notice ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:35.
Referenzen der NVD (5)
- https://github.com/xhtml2pdf/xhtml2pdf/blob/v0.2.18/xhtml2pdf/pisa.py#L393-L400
- https://github.com/xhtml2pdf/xhtml2pdf/commit/f86380dad15b3a6810201d08755a3ee6b19d5063
- https://github.com/xhtml2pdf/xhtml2pdf/pull/835
- https://github.com/xhtml2pdf/xhtml2pdf/releases/tag/v0.2.19
- https://www.vulncheck.com/advisories/xhtml2pdf-before-0.2.19-os-command-injection-via-startviewer-file-name
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.