Foxit раскрыла сведения о нескольких уязвимостях в Foxit Online Services, то есть в службах, которые работают на официальном сайте foxit.com. Часть проблем связана со службой преобразования HTML в PDF: она принимает размеченный текст или архив и возвращает готовый документ. Одна из проблем открывает доступ к файлам, которые загрузили другие пользователи, ещё одна позволяет отправить запрос во внутреннюю сеть, а ещё одна раскрывает учётные данные, оставленные в коде страницы. Атака идёт по сети и не требует учётной записи на сайте.
Подделка запросов, общий токен и ключ в коде страницы
Записи об уязвимостях опубликованы 29 октября 2026 года, назначил их сам вендор, статус каждой - "опубликовано". Затронуты версии службы, работавшие до этой даты. Отдельно бюллетень отмечает, что действий пользователя для срабатывания проблем не нужно. Номер исправленной версии в записях не указан: за исправлениями бюллетень безопасности Foxit отсылает на страницу foxitsoftware.com/support/security-bulletins.php. Сведений об эксплуатации в реальных атаках нет, обходных мер записи тоже не приводят.
Условия атаки у записей совпадают: доступ по сети, низкая сложность, учётные данные и участие пользователя не нужны. Запись CVE-2026-111419 получила 8.6 из 10 по CVSS, общей системе оценки уязвимостей; это уровень High. Остальные записи вендор тоже отнёс к уровню High.
Общий токен и документы других пользователей
Служба преобразования HTML в PDF принимает разметку веб-страницы или архив и возвращает готовый PDF, формат электронных документов. Внутри неё присланные документы привязывались к одному общему токену, то есть к строке доступа, которую сервис проверяет при выдаче файла. Из-за общего значения обладатель токена получает не только свой документ, но и файлы, отправленные другими людьми. Ошибку относят к нарушению контроля доступа: правило, кому что разрешено, составлено неверно, и проверка прав пропускает постороннего.
Подделка запросов через ZIP-архив
Ещё одна проблема - подделка запросов на стороне сервера (SSRF): сервер выполняет обращение к адресу, который выбрал отправитель. Ограничение на запросы к внутренним адресам обходится, если передать содержимое в ZIP-архиве. В результате можно получить сведения о ресурсах внутренней сети, которые снаружи недоступны. Название записи упоминает также выполнение кода JavaScript, языка сценариев для веб-страниц, однако описание останавливается на подделке запросов, поэтому подробностей по этой части источник не даёт.
Ключ доступа в коде страницы
Отдельная проблема касается кода самого сайта: в сценарии JavaScript остались данные авторизации стороннего сервиса, то есть внешней системы, к которой сайт обращается по ключу. Ключ вписан прямо в страницу, а не хранится на сервере. Любой, кто откроет исходный код, может забрать этот ключ и обращаться к стороннему сервису от чужого имени. Сведений о том, что ключ уже кто-то использовал, в записях нет.
Кроме перечисленных служб, ни один продукт Foxit в записях не назван. Для неназванных продуктов указан статус "не затронут" по умолчанию: это предварительный вывод, а не подтверждённая безопасность.
Практических шагов немного. Номер исправленной версии в источнике отсутствует, поэтому искать его нужно в бюллетене вендора на foxitsoftware.com/support/security-bulletins.php. Отдельно проверьте, отправляли ли сотрудники документы на преобразование через сайт foxit.com: такие файлы могли стать доступны посторонним. Ключ из кода страницы силами администратора не отозвать, это задача владельца сервиса; остаётся следить за обновлениями бюллетеня.
Служба открыта в интернете и не требует учётной записи, поэтому проверить её поведение может любой человек. Сведений об эксплуатации нет, а номер исправленной версии не назван, так что судить о закрытии проблем рано. Дальнейшие данные появятся в бюллетене вендора.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-111417
- https://www.cve.org/CVERecord?id=CVE-2026-111418
- https://www.cve.org/CVERecord?id=CVE-2026-111419
