jsPDF库两大高危漏洞详解：CVE-2026-24737代码注入与CVE-2026-24133拒绝服务

近日，一个在前端开发者中广泛使用的JavaScript库——jsPDF被曝出两个严重的安全漏洞。这两个漏洞编号分别为CVE-2026-24737（CVSS评分8.1）和CVE-2026-24133（CVSS评分8.7），可能允许攻击者进行恶意代码注入或直接导致应用程序崩溃，其危险性不容忽视。安全研究人员建议相关开发者立即排查并升级。

漏洞一：CVE-2026-24737 - 通过PDF表单字段注入恶意代码

第一个高危漏洞存在于jsPDF库的AcroForm模块中。该模块的主要功能是为生成的PDF文档添加交互式表单元素，例如复选框、单选按钮等。

问题的根源在于，如果应用程序在使用相关API时，未能对用户输入的数据进行严格的过滤和校验，攻击者就可以通过操控特定的API属性，将精心构造的恶意PDF对象嵌入到最终生成的文档中。这些对象甚至可能包含可执行的JavaScript代码。

这意味着什么？想象一下，当一个毫无戒备的用户打开这份被“污染”的PDF文件时，其中隐藏的恶意脚本可能会在客户端静默执行，从而窃取敏感信息或执行其他未经授权的操作，带来直接的数据安全风险。

漏洞二：CVE-2026-24133 - 利用“图片炸弹”触发拒绝服务

第二个漏洞则是一个典型的拒绝服务（DoS）漏洞，位于库的BMP图片解码器内部。

攻击手法非常简单：只需要制作一张特殊的BMP格式图片，并在其文件头中写入异常巨大的宽度或高度值。当jsPDF的addImage方法尝试加载和处理这张“图片炸弹”时，会错误地分配远超系统承受能力的内存资源，最终导致处理此任务的应用程序进程或浏览器标签页因内存耗尽而崩溃。

这种攻击成本极低，攻击者仅需诱导目标用户或服务上传一张特定图片，或点击一个包含此图片的链接，就可能造成服务中断。

解决方案：立即升级至安全版本

针对上述两个高危漏洞，jsPDF的维护团队已经迅速响应，并在新版本中完成了修复。官方的明确建议是：所有项目应立即将jsPDF升级至4.1.0或更高版本，这是消除风险最根本、最有效的方法。

如果你的项目因某些原因暂时无法升级，那么唯一的缓解措施就是在数据传入jsPDF API之前，实施极其严格的输入验证和清理。务必对所有由用户提供的表单字段内容和图片文件来源保持警惕，进行充分的校验，绝不能直接将未经处理的用户输入传递给这些敏感API。

安全无小事，及时更新依赖库是保障应用安全的重要一环。希望各位开发者能重视此次漏洞通告，尽快采取行动。更多技术细节和官方修复记录，建议访问jsPDF的GitHub仓库发布页面查看。

如果你在升级过程中遇到问题，或想与其他开发者交流前端安全实践，欢迎来到云栈社区的相关板块讨论。