[问题] PDF 预览未能禁用内嵌 JavaScript,导致存储型 XSS 漏洞

QQ 问题类型 /QQ

警卫/

kkFileView 版本/ kkFileView −

5.0.0 (单位:千美元)

部署模式/ 部署模式

ZZ2ZZ

环境/ 环境

OS: [例如Windows/Linux] (英语). 浏览器:[如Chrome 120]. kkFileView 版本: [例如 5. 0. 部署:[例如:Docker/Jar/源

• 步骤重现/*

$ 1、构造一个包含 JavaScript CH DFDF − (例如使用 / 名称 字典嵌入 app.aert ('xstest')). 2、通过 kkFileView 上传或使用预览接口打开该 PDF. 3、观察页面, 弹窗出现, 表明脚本成功执行。.

• 预期成果/*

1+Q应用程序. 属性 +PDF +; 2++PDF.js++,++能脚本; 3××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××

实际结果/

===================================================================================================== (=======================================================================

QQ 日志和屏幕截图 / QQ

贝壳 可参照复现步骤获取日志与截图

QQ 样本文件 / QQ (QQ)

无回复( N)

                                                           

- [x] 我搜索了现有的问题,没有发现重复的问题。 /我已搜索现有发,未发现重复问题发.
- [x] 我可以在声明的版本/环境上转载这个问题。 / .
- [x] 我在日志/截图中掩盖了敏感信息。 /我已对日志与截图中的敏感信息做脱敏处理