Introdução
Foxit liberou atualizações em 3 de fevereiro de 2026 para corrigir duas vulnerabilidades de cross-site scripting (XSS) em Foxit PDF Editor Cloud — identificadas como CVE-2026-1591 e CVE-2026-1592 — que poderiam permitir execução arbitrária de JavaScript no contexto do navegador do usuário.
Descoberta e técnica
As falhas foram identificadas em componentes da interface: a lista de anexos (File Attachments) e o painel de camadas (Layers). O problema raiz é a insuficiente sanitização de entradas fornecidas por usuários, permitindo que nomes de camadas e nomes de arquivos anexados sejam incorporados ao HTML sem a codificação adequada, o que caracteriza vulnerabilidade do tipo CWE-79 (XSS).
Gravidade e vetores
- CVE-2026-1591 — Cross-site Scripting, CVSS 6.3 (Moderado).
- CVE-2026-1592 — Cross-site Scripting, CVSS 6.3 (Moderado).
O vetor é remoto (AV:N), com baixa complexidade (AC:L), requer privilégios baixos (PR:L) e interação do usuário (UI:R). A exploração permite execução de JavaScript no contexto de sessão do usuário autenticado, possibilitando acesso a conteúdos visíveis naquele contexto e potenciais ações com sessão autenticada.
Impacto prático
Exploração bem-sucedida pode levar ao roubo de informações disponíveis no navegador do usuário (conteúdo do documento, cookies de sessão ou outros dados clicáveis no contexto da aplicação), execução de ações em nome do usuário e possível condução de ataques de engenharia social mais complexos. A necessidade de interação e acesso autenticado reduz parcialmente a superfície de ataque, mas não elimina o risco em ambientes colaborativos onde documentos e links são compartilhados.
Correção e medidas recomendadas
- Foxit informou que as versões em nuvem receberam atualização automática em 3 de fevereiro de 2026 — nenhuma ação do usuário final seria necessária nesses deployments cloud.
- Clientes usando versões desktop devem verificar e aplicar as atualizações disponíveis via mecanismo de atualização do aplicativo.
- Organizações devem revisar políticas de upload e tratamento de anexos, assim como monitorar logs e sessões atípicas para detectar possíveis explorações.
O que falta
As notas públicas não detalham exemplos de payloads usados em ataques reais nem indicadores de comprometimento públicos relacionados a incidentes já observados. Foxit forneceu um canal de contato para questões de segurança (security-ml@foxit.com) e mantém página de boletins de segurança para relatórios adicionais.
Implicações para operação e governança
Para equipes de segurança, as vulnerabilidades XSS em aplicações de edição colaborativa exigem atenção devido à potencial exposição de conteúdos sensíveis e de sessões autenticadas. Recomenda-se auditar controles de acesso aos recursos de edição, restringir permissões de upload quando aplicável e garantir que mecanismos de proteção de sessão (tokenização, expiração, proteção contra CSRF) estejam corretamente configurados.
Fonte: Cyber Security News — relatório sobre as correções de segurança e orientações da Foxit.