Уязвимости PDF.jsPDF.js: известные уязвимости и безопасные версии
npm: pdfjs-dist
Для PDF.js известно записей об уязвимостях: 5. Из них 4 — в данных npm (GitHub Advisory Database через OSV, тот же источник, что у npm audit), 1 — только в Retire.js (сборки с CDN и бюллетени без CVE).
По веткам: 6.x — безопасна с 6.2.108; 5.x — в записях нет исправленной версии; 4.x — безопасна с 4.2.67; 2.x — в записях нет исправленной версии.
Уязвимости и безопасная версия по веткам
Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.
| Ветка | Поддержка | Последняя в ветке | Записи | Безопасная версия |
|---|---|---|---|---|
| 6.x | — | — | 2высокая | 6.2.108 |
| 5.x | — | — | 2высокая | Исправления нет |
| 4.x | — | — | 2высокая | 4.2.67 |
| 2.x | — | — | 3высокая | Исправления нет |
| 1.x | — | — | 3высокая | Исправления нет |
Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.
Записи
Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.
GHSA-hq66-cqwq-w95j2026-08-06
PDF.js: Arbitrary JavaScript execution upon opening a malicious PDF
Затронутые версии: >= 5.6.83, < 6.2.108
высокая
Исправлено в: 6.2.108
CVE-2024-4367есть код эксплойта2024-05-14
A type check was missing when handling fonts in PDF.js, which would allow arbitrary JavaScript execution in the PDF.js context.
Затронутые версии: < 4.2.67
высокая 8.8
Исправлено в: 4.2.67
EPSS 70,6%
CVE-2024-343422024-05-07
react-pdf's PDF.js vulnerable to arbitrary JavaScript execution upon opening a malicious PDF
Затронутые версии: < 4.2.67
высокая 7.1
Исправлено в: 4.2.67
EPSS 1%
CVE-2018-5158есть код эксплойта2018-06-11
The PDF viewer does not sufficiently sanitize PostScript calculator functions, allowing malicious JavaScript to be injected through a crafte
Затронутые версии: >= 2.0.0, < 2.0.550 · < 1.10.100
высокая 8.8
Исправлено в: 1.10.100, 2.0.550
EPSS 10,2%
PDF.js: Arbitrary JavaScript execution upon opening a malicious PDF
Затронутые версии: >= 5.6.83, < 6.2.108
высокая
Исправлено в: 6.2.108
Источники и метод
Диапазоны: GitHub Advisory Database (выгрузка OSV для npm, ежедневно) и Retire.js (Apache-2.0). Эксплуатация: CISA KEV, FIRST EPSS и зрелость эксплойта из базы CVE Noroxi. Даты поддержки: endoflife.date.
Эта страница и сканер JavaScript-библиотек используют одно правило сопоставления: строка без границ не считается доказательством, версии сравниваются в одном месте. Запись без диапазона версий не считается «затрагивающей» при проверке версии.
Данные на 28 октября 2026 г..