CVE-2016-10591
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les serveurs utilisant l'API Prince Node pour convertir du HTML/XML en PDF sont concernés car le logiciel télécharge des ressources compressées via le protocole HTTP non chiffré. Un attaquant positionné sur le réseau (Man-in-the-Middle) peut intercepter ces requêtes et remplacer les fichiers légitimes par une archive malveillante afin d'exécuter du code arbitraire sur votre système. Bien que cela ne nécessite ni authentification ni interaction de l'utilisateur, l'attaque est difficile à réaliser car l'assaillant doit être stratégiquement positionné entre votre serveur et la ressource distante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Prince is a Node API for executing XML/HTML to PDF renderer PrinceXML via prince(1) CLI. prince downloads zipped resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested tarball with an attacker controlled tarball if the attacker is on the network or positioned in between the user and the remote server.