CVE-2023-0835

O markdown-pdf 11.0.0 renderiza Markdown fornecido pelo usuário sem validá-lo, e isso permite a um atacante ler arquivos locais arbitrários da máquina que faz a conversão. Como a renderização puxa tudo o que o Markdown malicioso referencia, um documento criado por um usuário externo se torna uma primitiva de exfiltração de arquivos, alcançando arquivos que o processo de renderização consegue acessar. A métrica de escopo alterado reflete que o dano cai fora da fronteira do próprio componente.

Em qualquer lugar onde o Markdown de um usuário é transformado em PDF, campos de comentário, funcionalidades de anotações, geradores de relatório, este é um caminho ativo, e só precisa que o atacante submeta conteúdo que depois seja renderizado. Não é um exploit auto-propagável, mas em uma aplicação multiusuário permite a um estranho extrair segredos e configuração do servidor. O valor para um atacante são exatamente os arquivos locais, credenciais e chaves, que destravam a próxima etapa.

Isto é, para nós, um exercício de rastreamento de dependências: markdown-pdf é uma biblioteca embutida em aplicações, então precisamos encontrar quais serviços dependem da versão 11.0.0 e, dentre esses, quais o alimentam com Markdown que qualquer usuário não confiável possa influenciar. Essa interseção, versão vulnerável mais entrada acessível ao atacante, é a lista curta que de fato importa, e é muito menor que a contagem bruta de projetos que puxam o pacote.