文章总结： jsPDFNode.js版在loadFile等接口未过滤路径遍历，攻击者可构造../序列读取任意文件并嵌入PDF，CVSS4.0评分9.2，影响<4.0.0版本，官方已发布4.0.0修复，建议立即升级。 综合评分： 88 文章分类： 漏洞预警,WEB安全,代码审计,漏洞分析,应用安全

【已复现】jsPDF 曝高危漏洞：可窃取服务器密钥及配置文件 (CVE-2025-68428)

原创

360漏洞研究院

360漏洞研究院

2026年1月6日 12:10 四川

“扫描下方二维码，进入公众号粉丝交流群。更多一手网安资讯、漏洞预警、技术干货和技术交流等您参与！”

| | | | | | — | — | — | — | | 漏洞概述 | | | | | 漏洞名称 | jsPDF目录穿越导致本地文件包含漏洞 | | | | 漏洞编号 | CVE-2025-68428 | | | | 公开时间 | 2026-01-05 | POC状态 | 已公开 | | 漏洞类型 | 目录穿越 | EXP状态 | 未公开 | | 利用可能性 | 高 | 技术细节状态 | 已公开 | | CVSS 4.0 | 9.2 | 在野利用状态 | 未发现 |

01

影响组件

jsPDF 是一个广泛应用于 Web 及 Node.js 环境的开源 PDF 生成库。该库由 Parallax 团队开发维护，支持在浏览器端和服务器端生成 PDF 文件，并提供丰富的 API 用于添加文本、图像及字体等内容。jsPDF 在前端开发和后端服务中被大量使用，常用于动态生成报表、发票和证书。由于该库的 Node.js 版本具备文件系统访问能力，可用于加载本地资源，该特性也成为了本次漏洞的攻击入口。

02

漏洞描述

近日，GitHub 安全公告披露了 jsPDF 库中存在一个严重的目录穿越漏洞（CVE-2025-68428），该漏洞可导致本地文件包含。

此漏洞源于 jsPDF (Node.js 构建版) 的部分方法（loadFile, addImage, html, addFont）未对用户传入的文件路径进行严格的过滤与校验。远程攻击者可构造包含路径遍历序列（如 ../）的恶意请求，绕过预期的资源目录限制，读取服务器上的敏感文件（如配置文件、密钥等），并将文件内容嵌入到生成的 PDF 文档中。由于该漏洞利用门槛较低，无需特殊权限或用户交互，因此具有较高的安全风险。

03

漏洞复现

360 漏洞研究院已复现jsPDF目录穿越导致本地文件包含漏洞（CVE-2025-68428），实现了读取服务器上层目录文件并将其内容嵌入目标 PDF 文档中。

CVE-2025-68428 jsPDF目录穿越导致本地文件包含漏洞复现

04

漏洞影响范围

受影响版本：

jsPDF < v4.0.0

05

修复建议

正式防护方案

将 jsPDF 升级至 4.0.0 或更高版本

06

时间线

2026年01月06日，360漏洞研究院发布本安全风险通告。

07

参考链接

https://www.cve.org/CVERecord?id=CVE-2025-68428

https://github.com/parallax/jsPDF/security/advisories/GHSA-f8cm-6447-x5h2

08

更多漏洞情报

建议您订阅360数字安全-漏洞情报服务，获取更多漏洞情报详情以及处置建议，让您的企业远离漏洞威胁。

邮箱：[email protected]

网址：https://vi.loudongyun.360.net

“洞”悉网络威胁，守护数字安全

关于我们

360 漏洞研究院，隶属于360数字安全集团。其成员常年入选谷歌、微软、华为等厂商的安全精英排行榜, 并获得谷歌、微软、苹果史上最高漏洞奖励。研究院是中国首个荣膺Pwnie Awards“史诗级成就奖”，并获得多个Pwnie Awards提名的组织。累计发现并协助修复谷歌、苹果、微软、华为、高通等全球顶级厂商CVE漏洞3000多个，收获诸多官方公开致谢。研究院也屡次受邀在BlackHat，Usenix Security，Defcon等极具影响力的工业安全峰会和顶级学术会议上分享研究成果，并多次斩获信创挑战赛、天府杯等顶级黑客大赛总冠军和单项冠军。研究院将凭借其在漏洞挖掘和安全攻防方面的强大技术实力，帮助各大企业厂商不断完善系统安全，为数字安全保驾护航，筑造数字时代的安全堡垒。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：360漏洞研究院 360漏洞研究院《【已复现】jsPDF 曝高危漏洞：可窃取服务器密钥及配置文件 (CVE-2025-68428)》