CVE-2026-102354
Beschrijving NL
BentoPDF is een privacygerichte PDF-toolkit die in de browser wordt uitgevoerd. In versies tot 2.8.6 voert cloudflare/cors-proxy-worker.js een DNS-over-HTTPS-veiligheidscontrole uit in hostnaamResolvesToPrivate (), zoals gebruikt door isValidCertificateUrl () en isValidTsaUrl (), los van de uitgaande fetch(targetUrl, ...). In implementaties waarbij PROXY_Secret-validatie niet is ingeschakeld, kan een directe client die gezaghebbende DNS beheert de Origin-header vervalsen, een certificaat-, OCSP-, CRL- of TSA-URL leveren die de geaccepteerde padcontroles van de proxy doorstaat, een openbaar adres retourneren tijdens de validatie en een privé- of link-lokaal adres retourneren tijdens de latere ophaling. Het eindpunt kan toegestane reactielichamen teruggeven aan de aanvaller, maar de exploitatie vereist een nauwkeurige timing, omleidingen en IP-letterlijke verduistering worden geblokkeerd en de bereikbaarheid van het netwerk beperkt het doelwit. Deze kwetsbaarheid is opgelost in 2.8.7.
Origineel (Engels) tonen
BentoPDF is a privacy-focused PDF toolkit that runs in the browser. In versions through 2.8.6, cloudflare/cors-proxy-worker.js performs a DNS-over-HTTPS safety check in hostnameResolvesToPrivate(), as used by isValidCertificateUrl() and isValidTsaUrl(), separately from the outbound fetch(targetUrl, ...). In deployments where PROXY_SECRET validation is not enabled, a direct client that controls authoritative DNS can forge the Origin header, supply a certificate, OCSP, CRL, or TSA URL that passes the proxy's accepted path checks, return a public address during validation, and return a private or link-local address during the later fetch. The endpoint can return allowed response bodies to the attacker, but exploitation requires precise timing, redirects and IP-literal obfuscation are blocked, and network reachability limits the target. This vulnerability is fixed in 2.8.7.