TurboDocx html-to-docx: Server-Side Request Forgery über img src

Zusammenfassung

html-to-docx, eine JavaScript-Bibliothek zur Umwandlung von HTML in DOCX, ist bis einschliesslich Version 1.23.1 betroffen (npm-Paket @turbodocx/html-to-docx). Während der Umwandlung lädt die Bibliothek entfernte Bilder, die über img-src-Attribute referenziert werden. Ein Angreifer, der HTML an einen Dienst mit dieser Bibliothek übermitteln kann, kann den Server veranlassen, interne Adressen, Loopback-Adressen oder Cloud-Metadaten-Endpunkte abzufragen, weil die Prüfung isValidUrl() zu lax ist. Die Antworten werden in die erzeugte DOCX-Datei eingebettet, wo der Angreifer sie auslesen kann. Gemäss CVSS-Vektor ist nur die Vertraulichkeit betroffen.

Betroffen

• TurboDocx html-to-docx (npm: @turbodocx/html-to-docx), alle Versionen bis einschliesslich 1.23.1
• Letzter betroffener Commit: ff08e5687a2c87bcdc182a2e3e130c3493b9fb7e (src/utils/image.js)

Behoben in

Unbekannt. Es wurde keine korrigierte Version, kein Commit und keine Herstellerwarnung gefunden. Die neueste npm-Version zum Zeitpunkt der Recherche ist 1.23.1.

Umgehung

Kein Workaround des Herstellers bestätigt. Übergangsmassnahmen:

• Keine unvertrauenswürdigen HTML-Daten an den Konverter übergeben; img-Elemente entfernen oder nur selbst gehostete Bilder erlauben.
• Ausgehende Verbindungen des Konvertierungsdienstes zu internen Netzen und Cloud-Metadaten-Adressen wie 169.254.169.254 sperren.
• Den Konverter in einem Netzsegment ohne Zugriff auf interne Systeme betreiben.
• Generierte DOCX-Medieninhalte nicht an unvertrauenswürdige Benutzer zurückgeben.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc' (öffentlicher Proof of Concept), automatisierbar: nein, technische Auswirkung: partiell.
• Nicht im CISA-KEV-Katalog gelistet; keine bekannte Ausnutzung in freier Wildbahn gefunden. EPSS liegt unter 1 %.

Unsere Empfehlung

• Prüfen, ob ein eigener Dienst diese Bibliothek zur Umwandlung von HTML in DOCX einsetzt, insbesondere wenn Benutzer oder externe Systeme das HTML liefern. Falls nicht, Eintrag schliessen.
• Die oben genannten Workarounds sofort umsetzen und den ausgehenden Verkehr des Konverters einschränken.
• GitHub-Repository und npm auf eine korrigierte Version überwachen und sofort aktualisieren, sobald eine verfügbar ist.
• Ausgehende Anfragen und Logs auf Zugriffe auf interne oder Metadaten-Adressen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• TurboDocx html-to-docx repository github.com
• Vulnerable code: src/utils/image.js at ff08e56 github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up referenced in the CVE hackmd.io
• OSV entry CVE-2026-110718 osv.dev
• OpenCVE entry CVE-2026-110718 app.opencve.io
• html-to-docx releases github.com
• npm package @turbodocx/html-to-docx www.npmjs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:24.