Каждый день тысячи веб‑сервисов генерируют различные PDF (Portable Document Format) файлы: счета, договоры, отчёты. Этот этап часто воспринимается как техническая рутина, «просто сконвертировать HTML», но на деле именно здесь проходит критическая граница доверия. Рендерер парсит HTML, загружает внешние ресурсы, обрабатывает шрифты, SVG и изображения, а иногда имеет доступ к сети и файловой системе. Причём опасное поведение может происходить по умолчанию, без явных опций или предупреждений. Уже этого достаточно, чтобы PDF‑конвертер стал SSRF‑прокси, каналом утечки данных или точкой отказа в обслуживании.

https://swarm.ptsecurity.com/blind-trust-what-is-hidden-behind-the-process-of-creating-your-pdf-file

#cybersecurity #research #pdf