Arbitrary JavaScript execution due to using outdated libraries
Summary
gradio-pdf projects with dependencies on the pdf.js library are vulnerable to CVE-2024-4367, which allows arbitrary JavaScript execution.
PoC
-
Generate a pdf file with a malicious script in the fontmatrix. (This will run
alert(‘XSS’).) poc.pdf -
Run the app. In this PoC, I've used the demo for a simple proof.
-
Upload a PDF file containing the script.
-
Check that the script is running.
Impact
Malicious scripts can be injected into the code, and when linked with vulnerabilities such as CSRF, it can cause even greater damage. In particular, It can become a source of further attacks, especially when linked to social engineering.
Mitigation
Upgrade the pdf.js to v4.2.67, which removes the vulnerability. (or set the option isEvalSupported to false.)
Reference
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | gradio-pdf | < 0.0.10 | 0.0.10 |
Referencias
- Vector CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N- Debilidad (CWE)
CWE-79- Plataforma
- Python (PyPI)
- Paquete
gradio-pdf- Publicada
- 05.06.2024
- Actualizado
- 11.10.2026 12:18
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-4m3g-6r7g-jv4f - CC BY 4.0
Historial de vulnerabilidades: gradio-pdf
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.