jsPDF曝9.2版漏洞：周下载350万次，PDF可窃取敏感数据
1月8日消息，科技媒体bleepingcomputer昨日发布报告称，当前极受欢迎的Javascript PDF生成库jsPDF近期曝出一个严重安全漏洞，被标记为CVE-2025-68428。该漏洞的CVSS严重性评分高达9.2分，目前官方已在最新发布的4.0.0版本中修复了此问题。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
需要了解的是，jsPDF是一个功能强大的开源JavaScript库，其在npm注册表上的每周下载量超过350万次，应用非常广泛。
该库允许开发者直接在浏览器端（即客户端）生成PDF文件，无需依赖后端服务器。它支持添加文本、图片、形状、表格，并可将HTML内容转换为PDF，非常适合需要动态生成报表、发票等文档的前端应用。通过其直观的API，开发者可以进行文本格式设置、图像插入、多页处理、自动分页和样式自定义等丰富操作。
此次曝光的漏洞追踪编号为CVE-2025-68428，其严重程度评分高达9.2分。漏洞的核心在于本地文件包含（LFI）与路径遍历缺陷。攻击者利用此缺陷可读取服务器本地文件系统中的敏感数据，并将其直接包含在生成的PDF文件中导出，从而导致机密信息泄露。
该漏洞主要影响jsPDF的Node.js构建版本（即dist/jspdf.node.js等文件）。问题出在loadFile等文件加载机制上。
当应用程序将未经“清洗”的用户输入直接作为文件路径传递给jsPDF后，攻击者便可操纵路径指向系统敏感文件（如/etc/passwd或各类配置文件）。除loadFile外，addImage、html和addFont等调用文件加载的方法也受波及。
维护团队已在jsPDF 4.0.0版本中修复该漏洞。新版本默认限制了文件系统访问权限，转而依赖Node.js的权限模型来管理文件读取操作。
然而，安全公司Endor Labs的研究人员指出，该权限模型在Node.js 20中仍处于实验阶段。因此，专家建议开发者将运行环境升级至Node.js 22.13.0、23.5.0或24.0.0及更高版本，以确保修复方案稳定生效。
Endor Labs同时警告，单纯升级库版本并非万无一失。开发者在启用修复方案建议的--permission标志时需格外小心，因为该标志会影响整个Node.js进程。若在配置--allow-fs-read（允许文件系统读取）时权限设置过宽，可能会抵消补丁的修复效果，导致系统再次暴露于风险之中。
对于无法立即升级Node.js版本的旧项目，jsPDF团队建议在将用户提供的路径传递给库函数之前，必须进行严格的输入验证和清洗。
Endor Labs的报告也补充说明，如果文件路径是硬编码的、来自受信任的配置源，或输入经过了严格的白名单过滤，可以大幅降低该漏洞的被利用风险。
相关攻略
想在Mac上给PDF加电子签名？其实用系统自带的“预览”应用就能轻松搞定。整个过程就像在纸上签名一样直观：先创建你的专属签名，然后把它拖到文档里合适的位置，调整一下样式，最后保存即可。下面，我们就来一步步拆解这个流程。 如果你手头有一份需要签署的PDF合同或文件，完全不必四处寻找付费软件。苹果Mac
目标用户群体解析 有这样一群人，日常工作与学习始终在与繁复信息和有限时间竞赛，他们便是追求极致效率的深度信息处理者。这类用户的核心痛点非常聚焦：如何以最小的时间成本，最高效地抓取并消化关键知识。无论是需要研读海量学术文献的学生与科研工作者，还是偏好通过长视频课程进行自我提升的终身学习者，360AI浏
虫虫漫画正版官网入口详解 大家一直在找的虫虫漫画正版官网，其实就是 https: www chongchongmanhua com 。不过话说回来，光知道个网址可能还不够，你得清楚它到底好在哪里。我花了些时间仔细体验了一番，发现它的门道还真不少，尤其是内容组织、阅读体验和一些贴心的小功能，做得相当
打开浏览器就能直接走进一个逼真的 3D 世界，还能像玩游戏一样自由旋转角度，更能看清每一个物体的细节，甚至还能看到会动的虚拟人向你招手。这上海交通大学人工智能学院钟志航副教授和上海人工智能实验室等合
1 月 8 日消息，科技媒体 bleepingcomputer 昨日（1 月 7 日）发布博文，报道称广泛使用的 JavaScript PDF 生成库 jsPDF 近期报告严重安全漏洞（CVE-2
热门专题
热门推荐
智能家居赛道激战正酣，小米电视凭何赢得消费者青睐？ 如今的智能家居市场，早已是一片红海。各方势力角逐之下，小米电视却悄然跃升为许多家庭选购清单上的重要选项。从沉浸式的家庭影院到酣畅淋漓的游戏娱乐，它凭借一套覆盖多元场景的产品组合，其市场表现值得深入一探。 核心优势：一张覆盖全场景的产品网 说起小米电
王者万象棋女娲最强出装与实战手法全攻略 在《王者万象棋》的激烈对抗中，决定一位英雄上限的往往不只是其技能机制，更在于能否通过精准的装备搭配，将她的核心能力彻底解放。女娲正是如此，一套契合版本的出装方案，是她掌控全场节奏、奠定胜局的核心保障。 王者万象棋女娲怎么出装 要让女娲的远程消耗与爆发控制能力全
深入理解C语言递归的核心原理与工作机制在C语言编程中，递归是一种强大的编程范式，指函数直接或间接调用自身来解决问题。掌握递归的关键在于领悟其核心思想：将复杂的原始问题，逐步分解为结构相似但规模更小的子问题，直至子问题简化到能够直接求解的基线条件。这一过程主要包含两个不可或缺的组成部分：递归基（出口）
Xbox One的硬件体验与日常维护作为一款已进入生命成熟期的游戏主机，Xbox One在长期使用中展现出了其设计的稳定性。其机身设计相对宽大，这为内部散热提供了一定空间，但也意味着在电视柜中需要占据不小的位置。在长时间游戏后，机身会排出温热空气，这属于正常现象，保持良好的通风环境至关重要，避免将主
如何在合约交易中利用“一目均衡表（IKH）”判断长线趋势？ 判断长线趋势，从来不是单凭一两个信号就能拍板的。它更像是一个系统工程，需要多个维度的证据相互印证。说到这，就不得不提一目均衡表（IKH）这套经典工具。它之所以在趋势交易者中备受推崇，正是因为它提供了一套环环相扣的验证逻辑。 一目均衡表长线趋