p PatchFirst

CVE-2026-82866

CVE-2026-82866 · @pdfme/common before 5.5.10 SSRF via Unvalidated URL Fetch

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

@pdfme/common before 5.5.10 contains a server-side request forgery vulnerability in the getB64BasePdf function that fetches arbitrary URLs without validation when basePdf is attacker-controlled. Attackers who control the basePdf template field can force servers or clients to make requests to internal endpoints, enabling metadata exfiltration, network reconnaissance, and blind request forgery attacks.

CVSS 8.9 · Élevée · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • common

    Versions du logiciel
    • ≥ 0, < 5.5.10: Concernée (semver)
    • 5.5.10: Non concernée (semver)

    Mettez à jour vers 5.5.10

  • @pdfme/common npm

    Plages de versions concernées
    • SEMVER: < 5.5.10

    Mettez à jour vers 5.5.10

Sources originales

Vérifiez votre serveur →