Vulnerabilidad en un nombre de archivo CompareTool en la línea de comandos gs en el archivo GhostscriptHelper.java en iTextPDF en iText (CVE-2021-43113)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-77
Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
15/12/2021
Última modificación:
24/03/2023
Descripción
iTextPDF en iText versión 7 y hasta la versión 7.1.17 permite la inyección de comandos a través de un nombre de archivo CompareTool que se maneja mal en la línea de comandos gs (también conocido como Ghostscript) en GhostscriptHelper.java.
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
7.50
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:itextpdf:itext:*:*:*:*:*:*:*:* | 7.0.0 (incluyendo) | 7.1.17 (excluyendo) |
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página



