Foxit Workspace собирает документы, общие папки и предпросмотр файлов в одном веб-интерфейсе. Ошибки в проверке пользовательских ссылок позволяют постороннему заставить сервер обратиться к внутренним адресам и вернуть ответ. Отдельная уязвимость срабатывает в браузере того, кто откроет общий файл. Патча нет: записи опубликованы 6 ноября 2026 года, номер исправленной сборки в них не указан.
Уязвимости и условия атаки
Сервер идёт по чужому адресу
SSRF - это класс ошибок, при которых сервер выполняет запрос не по тому адресу, который подразумевал пользователь, а по тому, который подставил атакующий. Снаружи внутренняя сеть обычно закрыта, а сервер Workspace стоит внутри. Поэтому он служит удобной точкой входа.
Запись CVE-2026-119431 касается загрузки файлов. Workspace принимает от пользователя ссылку и проверяет её недостаточно строго. В результате сервер может сходить к внутреннему ресурсу и отдать содержимое ответа обратно. Оценка CVSS 3.1 - 7.7 из 10, уровень высокий.
Запись CVE-2026-119433 описывает ту же ошибку в экспорте в PDF. Разница в месте: недокументированная конечная точка API принимает адрес и сетевые параметры без должной проверки. Помимо чтения внутренних страниц, такой запрос годится для разведки - перебора адресов и портов.
Условия атаки в этих записях совпадают. Запрос идёт по сети, сложность низкая, привилегии нужны низкие, участие пользователя не требуется. Достаточно отправить специально собранный запрос. Целостность и доступность при этом не страдают, под удар попадает конфиденциальность.
Ценность такой ошибки выше, чем кажется по оценке. Внутренние адреса, доступные серверу, обычно включают панели управления, хранилища и служебные API. Снаружи к ним не постучаться, а изнутри - легко.
Скрипт срабатывает при предпросмотре
Запись CVE-2026-119432 - хранимый межсайтовый скриптинг в предпросмотре общих файлов. Хранимый вариант означает, что скрипт лежит внутри файла и ждёт получателя. Атакующий загружает подготовленный документ и делится им с жертвой.
Дальше срабатывает предпросмотр. Скрипт выполняется в контексте приложения, то есть с правами самого Workspace в этом браузере. Оттуда он может добраться до учётных данных, которые браузер сохранил для сайта. Оценка CVSS 3.1 - 8.7 из 10.
Здесь участие пользователя требуется: нужно, чтобы человек открыл файл или посмотрел превью. Зато последствия шире - затронуты и конфиденциальность, и целостность. Для организации это оборачивается кражей сессии или пароля, а не чтением одного документа.
Файл при этом выглядит обычным документом. Поделиться им с коллегой не противоречит рабочему процессу. Заподозрить подвох до открытия трудно.
Обновление и что делать до него
Foxit выпустил бюллетень безопасности 6 ноября 2026 года. Записи назначил сам вендор, зарезервированы они были 30 октября, автор - mrfathoni. Вендор указал затронутыми версии Workspace до 6 ноября 2026 года. Номер исправленной сборки в записях не приводится, поэтому сверять нужно с бюллетенем на сайте Foxit.
Обходных мер вендор не приводит. Сведений об эксплуатации в реальных атаках в записях нет. Это не отменяет риска. SSRF не виден в интерфейсе: он работает на стороне сервера и попадает только в журналы.
До установки обновления стоит сузить круг тех, кому доступны загрузка и предпросмотр общих файлов. Полезно проверить, какие внутренние сервисы видит сервер Workspace, и отрезать лишнее сетевыми правилами. Журналы исходящих запросов покажут, обращался ли сервер к адресам, которых там быть не должно.
После патча сервер перестаёт принимать ссылки без проверки, а предпросмотр - выполнять встроенные скрипты. Проверить это лучше в тестовой копии. Отправьте ссылку на внутренний адрес и загрузите документ со скриптом: оба сценария должны перестать срабатывать.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-119431
- https://www.cve.org/CVERecord?id=CVE-2026-119432
- https://www.cve.org/CVERecord?id=CVE-2026-119433
- https://www.foxitsoftware.com/support/security-bulletins.php
