PDF-documentexport zet Markdown-URLs ongefilterd in AnnotationUrl #1642

New issue

Closed

opened 2026-08-21 11:59:01 +00:00 by brenno · 0 comments

brenno commented

2026-08-21 11:59:01 +00:00

Owner

Wat er misgaat

In de gezette document-PDF wordt elke link pw.AnnotationUrl(href.trim()) (lib/services/pdf/document_pdf_widgets.dart). Er is geen allowlist van schema's.

Gevolg: [tekst](javascript:…) of [tekst](file:///…) wordt een klikbare PDF-annotatie. file: staat niet in MarkdownSafetyScanner, dus zo'n link mag zelfs bij openen al in het document zitten. javascript: wordt bij openen geweigerd, maar de gebruiker kan hem daarna intypen en alsnog exporteren.

De HTML-export sanitizeert hrefs via DOMPurify; de PDF-tak deelt die poort niet.

Stappen

Document met [geheim](file:///etc/passwd) exporteren als PDF; de link is een URL-annotatie.

Wat het met het formaat doet

De PDF is een audience-oppervlak. Een schema dat lokaal of in de viewer code of bestanden opent, hoort er niet in.

Regressie

Alleen https:/http:/mailto: (en interne ankers) mogen een annotatie worden; file:, javascript:, data: en leeg schema → platte tekst. Test op buildDocumentExportPdf.

## Wat er misgaat In de gezette document-PDF wordt elke link `pw.AnnotationUrl(href.trim())` (`lib/services/pdf/document_pdf_widgets.dart`). Er is geen allowlist van schema's. Gevolg: `[tekst](javascript:…)` of `[tekst](file:///…)` wordt een klikbare PDF-annotatie. `file:` staat niet in `MarkdownSafetyScanner`, dus zo'n link mag zelfs **bij openen** al in het document zitten. `javascript:` wordt bij openen geweigerd, maar de gebruiker kan hem daarna intypen en alsnog exporteren. De HTML-export sanitizeert hrefs via DOMPurify; de PDF-tak deelt die poort niet. ## Stappen Document met `[geheim](file:///etc/passwd)` exporteren als PDF; de link is een URL-annotatie. ## Wat het met het formaat doet De PDF is een audience-oppervlak. Een schema dat lokaal of in de viewer code of bestanden opent, hoort er niet in. ## Regressie Alleen `https:`/`http:`/`mailto:` (en interne ankers) mogen een annotatie worden; `file:`, `javascript:`, `data:` en leeg schema → platte tekst. Test op `buildDocumentExportPdf`.

brenno added the

security

label

2026-08-21 11:59:01 +00:00

brenno referenced this issue from a pull request that will close it,

2026-08-21 22:53:36 +00:00

fix(security): harden document export boundaries #1698

brenno closed this issue

2026-08-21 23:00:39 +00:00

brenno referenced this issue

2026-08-26 11:48:44 +00:00

PDF-export: een link van meerdere woorden wordt per woord onderstreept #1792