GROBID : injection de commande dans la conversion PDF sous Linux

Veille sécuritéBackend & données

P4Non déterminée

Avant GROBID 0.9.1, le chemin Linux de conversion PDF hors serveur insère un nom de fichier contrôlé par l’utilisateur dans une commande bash -c. Un nom de fichier contenant une apostrophe peut permettre l’exécution de commandes avec les privilèges du processus GROBID ; le chemin du serveur REST intégré n’est pas affecté et le problème est corrigé en 0.9.1.

IdentifiantCVE-2026-123357

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif0.9.1

Source : NVD — CVE-2026-123357

Analyse technique

Le chemin DocumentSource.pdfalto construit une commande bash -c à partir du nom de fichier ; ProcessRunner l’exécute via ProcessBuilder. La source fournie indique un score CVSS de 0, sans gravité exploitable.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.

ImpactExécution de commandes arbitraires avec les privilèges du processus GROBID.

Versions affectéesVersions antérieures à 0.9.1 ; chemin Linux de conversion PDF hors serveur.

Version corrigée0.9.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-11-06T19:17:44.393Z

Mise à jour2026-11-06T19:17:44.393Z

Action recommandée

Mettre à niveau vers GROBID 0.9.1 ou une version ultérieure corrigée ; éviter le chemin de conversion PDF Linux hors serveur tant que le correctif n’est pas appliqué.

Sources

NVD — CVE-2026-123357

Priorisation DFS : P4 · 1 source(s).