Node.js環境向けPDF生成ライブラリに脆弱性 - 情報漏洩のおそれ

JavaScriptでPDFを生成するライブラリ「jsPDF」の一部ビルドに脆弱性が明らかとなった。脆弱性を修正したアップデートが提供されている。

ローカルファイルを読み出すパストラバーサルや、ローカルファイルインクルージョンによりPDFへファイルの埋め込みが可能となる脆弱性「CVE-2025-68428」が明らかとなったもの。

パスの処理に起因する脆弱性で、「Node.js」向けのビルドのみ影響があり、ブラウザ向けビルドは対象とならないという。

読み出された内容が生成されたPDFに埋め込まれ、脆弱性が悪用されると情報漏洩が発生するおそれがある。

共通脆弱性評価システム「CVSSv4.0」においてベーススコアは「9.2」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームは、現地時間2026年1月3日にリリースした「同4.0.0」で、ファイルシステムに対するアクセスをデフォルトで制限することにより同脆弱性に対処した。

（Security NEXT - 2026/01/06 ）ツイート