Vulnerabilidad en veraPDF (CVE-2024-52800)
Gravedad CVSS v4.0:
BAJA
Tipo:
CWE-611
Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
29/11/2024
Última modificación:
15/04/2026
Descripción
veraPDF es una librería de validación PDF/A de código abierto. La ejecución de comprobaciones de políticas mediante archivos Schematron personalizados a través de la CLI invoca una transformación XSL que, en teoría, puede provocar una vulnerabilidad de ejecución remota de código (RCE). Esto no afecta a la funcionalidad estándar de validación y comprobaciones de políticas, que son los casos de uso más comunes de veraPDF. La mayoría de los usuarios de veraPDF no insertan ningún código XSLT personalizado en los perfiles de políticas, que se basan en la sintaxis de Schematron en lugar de en transformaciones XSL directas. Los usuarios que sí lo hacen deben cargar únicamente archivos de políticas personalizados de fuentes en las que confíen. Este problema aún no se ha solucionado. Se recomienda a los usuarios que tengan cuidado con el código XSLT hasta que haya un parche disponible.
Impacto
Puntuación base 4.0
2.30
Gravedad 4.0
BAJA