Vulnerabilidad en jsPDF (CVE-2026-25940)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

19/02/2026

Última modificación:

23/02/2026

Descripción

jsPDF es una biblioteca para generar PDFs en JavaScript. Anterior a la versión 4.2.0, el control por parte del usuario de las propiedades y métodos del módulo Acroform permite a los usuarios inyectar objetos PDF arbitrarios, como acciones de JavaScript. Si se le da la posibilidad de pasar entrada no saneada a una de las siguientes propiedades, un usuario puede inyectar objetos PDF arbitrarios, como acciones de JavaScript, que se ejecutan cuando la víctima pasa el cursor sobre la opción de radio. La vulnerabilidad ha sido corregida en jsPDF@4.2.0. Como solución alternativa, sanee la entrada del usuario antes de pasarla a los miembros vulnerables de la API.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno