CVE-2026-119342

Reporte público de vulnerabilidad

BAJA Exploit público detectado CVSS 5.3 / MEDIUM CWE-20

GTN Risk Score

35/100

Monitoreo

Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.

Resumen ejecutivo

CVE-2026-119342 presenta una prioridad BAJA. El análisis público consolidado indica CVSS 5.3 (MEDIA), EPSS 0.43%, CISA KEV: No, exploit público detectado: Sí. El GTN Risk Score es 35/100 (Monitoreo). Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar advisories oficiales, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Resumen ejecutivo

Stirling-PDF is a locally hosted web application that facilitates various operations on PDF files. From 2.13.1 until 2.13.2, the POST /api/v1/convert/svg/pdf endpoint renders attacker-supplied SVG through Apache Batik, and a scheme-less root-relative image reference bypasses SvgSanitizer.isExternalUrl() before Batik resolves it against the file:///input.svg document base as a same-origin local file. The convert() and addSvgAsPage() paths in app/core/src/main/java/stirling/software/SPDF/utils/SvgToPdf.java can then render image-decodable server files into the returned PDF when sanitization is enabled, including without authentication on login-disabled deployments or with non-admin access when login is enabled. The issue discloses PNG, JPG, GIF, or SVG content and provides an existence oracle only for image-decodable paths; plain text, binary files, directories, XInclude text, external entities, explicit file URLs, and tested HTTP references are not disclosed through this mechanism. This issue is fixed in version 2.13.2. Resumen de riesgo: CVE-2026-119342 presenta CVSS 5.3, severidad MEDIA, EPSS 0.43%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Indicadores

EPSS 0.43% / valor crudo: 0.004330000

Percentil 37.62% / valor crudo: 0.376180000

CISA KEV No

CVSS 5.3

Severidad MEDIUM

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Attack Vector NETWORK

¿De qué se trata?

Producto / proveedor

Vendor No disponible

Producto No disponible

Nombre vulnerabilidad No disponible

CWE CWE-20

Fechas

Publicada 2026-10-30T21:16:53.137

Modificada 2026-10-30T21:16:53.350

Due Date CISA No aplica

Consultada 2026-11-01 18:44:50

Estado de explotación

Estado Exploit público detectado

Exploit público Sí

Confianza Media-Alta

Evidencia encontrada

Fuente	Estado	Detalle	Confianza
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media

Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.

¿Cómo superarlo / mitigarlo?

Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.

Referencias

Volver al inicio Nueva consulta