Veille sécuritéBackend & données
P4Moyenne
Dans Stirling-PDF, une référence d’image SVG root-relative sans schéma pouvait contourner le contrôle d’URL externe et permettre à Batik de lire certains fichiers locaux décodables comme images. Le problème affecte les versions de 2.13.1 jusqu’à 2.13.2 et est corrigé en 2.13.2; mettre à niveau.
Java
IdentifiantCVE-2026-119342
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.13.2
Source : NVD — CVE-2026-119342
Analyse technique
Le défaut touche POST /api/v1/convert/svg/pdf et les chemins convert() et addSvgAsPage() de SvgToPdf.java. La divulgation porte sur des fichiers PNG, JPG, GIF ou SVG décodables comme images; l’accès dépend des conditions d’authentification et de configuration décrites par l’avis.
Impact, versions et correctif
Événement datéLa publication et la mise à jour de la fiche NVD sont datées du 2026-10-30T21:16:53.137Z et 21:16:53.350Z; l’événement retenu est l’avis de sécurité publié dans la période.
ImpactDivulgation de contenu de certains fichiers locaux pouvant être décodés comme images.
Versions affectéesStirling-PDF de 2.13.1 jusqu’à 2.13.2; version corrective indiquée : 2.13.2.
Version corrigée2.13.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-30T21:16:53.137Z
Mise à jour2026-10-30T21:16:53.350Z
Action recommandée
Mettre à niveau vers Stirling-PDF 2.13.2.
Sources
Priorisation DFS : P4 · 1 source(s).