CVE-2026-119343

Reporte público de vulnerabilidad

BAJA Exploit público detectado CVSS 6.8 / MEDIUM CWE-73

GTN Risk Score

35/100

Monitoreo

Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.

Resumen ejecutivo

CVE-2026-119343 presenta una prioridad BAJA. El análisis público consolidado indica CVSS 6.8 (MEDIA), EPSS 0.28%, CISA KEV: No, exploit público detectado: Sí. El GTN Risk Score es 35/100 (Monitoreo). Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar advisories oficiales, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Resumen ejecutivo

Stirling-PDF is a locally hosted web application that facilitates various operations on PDF files. Prior to 3.0.0, POST /api/v1/ai/tools/create-pdf-from-html-agent accepts attacker-controlled htmlContent and passes it to WeasyPrint without CustomHtmlSanitizer, unlike the sanitized /api/v1/convert/html/pdf control path. HTTP and HTTPS resource references can make server-side requests to internal or cloud-metadata destinations, while file references can embed local content readable by the Stirling-PDF process into the generated PDF. The endpoint is reachable without credentials when security.enableLogin is false, and the flaw is distinct from earlier Stirling-PDF WeasyPrint vulnerabilities in older conversion paths. This issue is fixed in version 3.0.0. Resumen de riesgo: CVE-2026-119343 presenta CVSS 6.8, severidad MEDIA, EPSS 0.28%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.

Indicadores

EPSS 0.28% / valor crudo: 0.002840000

Percentil 20.94% / valor crudo: 0.209370000

CISA KEV No

CVSS 6.8

Severidad MEDIUM

Vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N

Attack Vector NETWORK

¿De qué se trata?

Producto / proveedor

Vendor No disponible

Producto No disponible

Nombre vulnerabilidad No disponible

CWE CWE-73

Fechas

Publicada 2026-10-30T21:16:53.417

Modificada 2026-10-30T21:16:53.607

Due Date CISA No aplica

Consultada 2026-11-01 18:47:24

Estado de explotación

Estado Exploit público detectado

Exploit público Sí

Confianza Media-Alta

Evidencia encontrada

Fuente	Estado	Detalle	Confianza
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media
NVD References	Referencia sospechosa/PoC	NVD contiene una referencia relacionada con PoC, exploit o repositorio público.	Media

Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.

¿Cómo superarlo / mitigarlo?

Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.

Referencias

Volver al inicio Nueva consulta