0x00 前言
PDF.js 是一个使用 HTML5 构建的便携式文档格式查看器。
pdf.js 是社区驱动的，并由 Mozilla 支持。我们的目标是为解析和呈现 PDF 创建一个通用的、基于 Web 标准的平台。
0x01 漏洞描述
在font_loader.js中存在代码注入漏洞，当PDF.js配置isEvalSupported选项设置为true(默认值)时会将输入传递到eval()函数，攻击者可通过诱导用户打开恶意PDF文件来利用漏洞，成功利用漏洞可以执行任意JavaScript。
0x02 CVE编号
CVE-2024-4367
0x03 影响版本
Mozilla PDF.js < 4.2.67
pdfjs-dist(npm) < 4.2.67
react-pdf(npm) < 7.7.3
8.0.0 <= react-pdf(npm) < 8.0.2
0x04 漏洞详情
https://github.com/mozilla/pdf.js/security/advisories/GHSA-wgrm-67xf-hhpq
0x05 参考链接
https://github.com/mozilla/pdf.js/security/advisories/GHSA-wgrm-67xf-hhpq
