BDU:2025-13963

Опубликовано: 25 сент. 2025

Источник: fstec

CVSS3: 6.5

CVSS2: 6.1

EPSS Низкий

Описание

Уязвимость библиотеки преобразования форматов разметки Pandoc языка программирования Haskell связана c подделкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию с помощью элементов

Вендор

John MacFarlane

Наименование ПО

Pandoc

Версия ПО

3.6.4 (Pandoc)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,1)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- использование функции raw_html для предотвращения использования элементов <iframe>.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-51591
CVE

EPSS

Процентиль: 11%

0.00038

Низкий

6.5 Medium

CVSS3

6.1 Medium

CVSS2

Связанные уязвимости

CVE-2025-51591

CVSS3: 3.7

ubuntu

5 месяцев назад

A Server-Side Request Forgery (SSRF) in JGM Pandoc v3.6.4 allows attackers to gain access to and compromise the whole infrastructure via injecting a crafted iframe. Note: Some users have stated that Pandoc by default can retrieve and parse untrusted HTML content which can enable SSRF vulnerabilities. Using the ‘--sandbox’ option or ‘pandoc-server’ can mitigate such vulnerabilities. Using pandoc with an external ‘--pdf-engine’ can also enable SSRF vulnerabilities, such as CVE-2022-35583 in wkhtmltopdf.

CVE-2025-51591

CVSS3: 4.8

redhat

5 месяцев назад

A Server-Side Request Forgery (SSRF) in JGM Pandoc v3.6.4 allows attackers to gain access to and compromise the whole infrastructure via injecting a crafted iframe.

CVE-2025-51591

CVSS3: 3.7

nvd

5 месяцев назад

CVE-2025-51591

CVSS3: 3.7

debian

5 месяцев назад

A Server-Side Request Forgery (SSRF) in JGM Pandoc v3.6.4 allows attac ...

GHSA-mcv3-ch54-xqfh

CVSS3: 6.5

github

5 месяцев назад

A Server-Side Request Forgery (SSRF) in JGM Pandoc v3.6.4 allows attackers to gain access to and compromise the whole infrastructure via injecting a crafted iframe.

EPSS

Процентиль: 11%

0.00038

Низкий

6.5 Medium

CVSS3

6.1 Medium

CVSS2