Vulnerabilidad en PDF::WebKit de MITHALDU (CVE-2026-16770)

Las versiones de PDF::WebKit hasta la 1.2 para Perl permiten la inyección de argumentos en wkhtmltopdf a través de metaetiquetas en el documento fuente.<br /> <br /> Para una cadena HTML o una fuente de archivo, el constructor recopila cada elemento en el encabezado del documento a través de _pdf_webkit_meta_tags y convierte cada uno en una opción de línea de comandos de wkhtmltopdf. KEY se normaliza a un nombre de opción que coincide con --[a-z0-9-]+ pero no se verifica contra una lista de permitidos, VALUE se pasa sin cambios como el argumento que lo sigue, y un VALUE de ’yes’ emite la opción como una bandera simple. BUILD fusiona las opciones derivadas de meta al final, por lo que también anulan los valores predeterminados del módulo y las opciones pasadas a new. Interruptores como --enable-local-file-access y --cookie-jar son accesibles de esta manera. El renderizador se ejecuta con una lista de argumentos en lugar de un comando de shell, por lo que esto es inyección de argumentos y no inyección de shell.<br /> <br /> Cualquier llamador que renderice HTML no confiable permite que el documento elija las opciones del renderizador y anule las establecidas por la aplicación, incluyendo opciones que leen archivos locales en el PDF resultante o escriben en una ruta elegida. Una fuente URL no se escanea, y el escaneo se omite cuando XML::LibXML, una dependencia recomendada, no está instalado.