Lỗ hổng Object Injection trong thư viện jsPDF cho phép thao túng tài liệu từ xa

[WhiteHat Team]

Một lỗ hổng nghiêm trọng vừa được phát hiện trong jsPDF, thư viện tạo tệp PDF phổ biến hàng đầu thế giới. Lỗ hổng thuộc nhóm Object Injection, cho phép kẻ tấn công chèn và tái cấu trúc các đối tượng bên trong tài liệu PDF được sinh từ dữ liệu người dùng, qua đó thao túng hành vi của file ngay ở tầng cấu trúc.​

Lỗ hổng được định danh CVE-2026-25755 với điểm CVSS 8,8 ở mức nghiêm trọng cao. Vấn đề bắt nguồn từ phương thức addJS, chức năng dùng để nhúng mã JavaScript vào tệp PDF. Trong tệp javascript.js, dữ liệu đầu vào do người dùng cung cấp được nối trực tiếp vào luồng xuất PDF mà không được xử lý thoát ký tự theo đúng đặc tả định dạng. Việc thiếu cơ chế kiểm soát này đã tạo ra một điểm chèn ngay trong tầng đối tượng của tài liệu.

Về bản chất, đây là một trường hợp Object Injection trong môi trường PDF. Khi chuỗi đầu vào chứa ký tự đóng ngoặc, thành phần /JS có thể bị kết thúc sớm hơn dự kiến, khiến phần dữ liệu phía sau không còn bị giới hạn trong ngữ cảnh JavaScript ban đầu mà được diễn giải như một cấu trúc PDF hợp lệ. Từ đó, kẻ tấn công có thể bổ sung các đối tượng và hành động tùy ý, thoát khỏi phạm vi đoạn mã gốc và trực tiếp chèn cấu trúc vào cây phân cấp của tài liệu, qua đó kiểm soát các thành phần được nhúng.

Khác với các cuộc tấn công XSS thông thường, CVE-2026-25755 tác động trực tiếp đến cấu trúc đối tượng PDF thay vì chỉ ảnh hưởng đến lớp hiển thị nội dung. Các hành động như /OpenAction có thể tự động kích hoạt khi tài liệu được mở, ngay cả khi tính năng thực thi JavaScript đã bị vô hiệu hóa trên trình xem PDF. Ngoài ra, kẻ tấn công có thể can thiệp vào các thành phần nhạy cảm như chữ ký số, mục Signatures, hoặc chú thích, mục Annots, nhằm thay đổi nội dung, ngụy tạo thông tin hoặc phục vụ các chiến dịch lừa đảo.

Rủi ro đặc biệt đáng lưu ý đối với các trình xem PDF dung lượng nhẹ trên thiết bị di động hoặc môi trường nhúng, nơi cơ chế phân tích cú pháp tuân thủ chặt chẽ đặc tả đối tượng PDF. Khi cấu trúc tài liệu đã bị chèn hợp lệ ở tầng đối tượng, các hành động được cài cắm có thể được xử lý như một phần tự nhiên của file mà không tạo ra dấu hiệu bất thường rõ ràng.

Nhà nghiên cứu bảo mật ZeroXJacks, người phát hiện lỗ hổng, đã công bố bằng chứng khai thác cho thấy việc lợi dụng addJS có thể điều khiển hành vi của tài liệu ngay khi được mở.

Cộng đồng phát triển được khuyến cáo khẩn trương cập nhật jsPDF lên phiên bản 4.1.0 trở lên. Ở phiên bản đã vá, các ký tự nhạy cảm như dấu ngoặc đơn và dấu gạch chéo ngược được xử lý thoát chuỗi theo đúng tiêu chuẩn. Trong thời gian chờ cập nhật, cần tuyệt đối tránh nhúng nội dung không tin cậy từ người dùng thông qua addJS và áp dụng quy trình kiểm soát dữ liệu đầu vào nghiêm ngặt tại phía ứng dụng.

Theo Cyber Security News​