CVE-2025-68428 jsPDF 复现

IT之家注：jsPDF 是一个强大的开源 JavaScript 库，每周在 npm 注册表上的下载量超过 350 万次。

该库支持开发者在浏览器端（客户端）直接生成 PDF 文件，无需依赖服务器，支持添加文本、图片、形状、表格，并能将 HTML 内容转换为 PDF，非常适合需要动态生成文档（如报表、发票）的前端应用。它通过直观的 API，提供了文本格式设置、图像插入、多页处理、自动分页和样式自定义等丰富功能。

本次曝光的漏洞追踪编号为 CVE-2025-68428，严重程度评分（CVSS）高达 9.2，核心在于本地文件包含（LFI）和路径遍历缺陷，攻击者利用该缺陷可读取服务器本地文件系统中的敏感数据，并将其直接包含在生成的 PDF 文件中导出，从而导致机密信息泄露。

该漏洞主要影响 jsPDF 的 Node.js 构建版本（即 dist / jspdf.node.js 等文件）。问题出在 loadFile 等文件加载机制上。

4.0版本已经修复此漏洞，github上有未修复的3.0.4

根据公开的信息，漏洞点出现在 ./dist/jspdf.node.js这个文件中nodeReadFile函数

15925的path.resolve(url)未经过安全过滤，导致可直接利用../../的形式读取文件

这里用了mht的靶场，来复现该内容

发送评论 编辑评论