Критическая уязвимость в библиотеке jsPDF: обновление необходимо

В известной JavaScript-библиотеке jsPDF, предназначенной для генерации PDF-документов, была обнаружена серьезная уязвимость, получившая идентификатор CVE-2025-68428 и оценка 9,2 по шкале CVSS. Уязвимость позволяет атакующим внедрять произвольные файлы из локальной системы в создаваемые PDFs, используя методы local file inclusion и path traversal. Библиотека jsPDF имеет широкое распространение, скачиваясь более 3,5 миллионов раз в неделю, что увеличивает потенциальные риски.

Проблема касается версий jsPDF для Node.js до 4.0.0, где функция loadFile может считывать файлы, основанные на пользовательском вводе. Разработчики подчеркивают, что уязвимость затрагивает только серверные сборки, тогда как версии для браузеров безопасны. Рекомендовано обновляться до версии 4.0.0, в которой ограничен доступ к файловой системе, однако механизм permission-mode остается экспериментальным. Исследователи предупреждают о высоком риске эксплуатации данной уязвимости и рекомендуют срочно обновить библиотеку для защиты приложений.