Foxit hat am 6. November 2026 drei Sicherheitslücken im cloudbasierten Dokumentendienst Foxit Workspace geschlossen. Die Fehler betrafen die Vorschau geteilter Dateien sowie die Verarbeitung von Uploads und PDF-Exporten. Besonders schwer wiegt eine Schwachstelle, durch die beim Öffnen einer manipulierten Dateivorschau eingeschleuster JavaScript-Code ausgeführt werden konnte. Foxit bewertet sie mit 8,7 von 10 Punkten nach CVSS 3.1.
Der Anbieter hat die Korrekturen bereits auf seinen Servern umgesetzt. Für Kunden ist laut Foxit kein eigenes Update erforderlich. Die Sicherheitsmeldung betrifft den Online-Dienst Workspace, nicht etwa eine neue Installationsversion von Foxit PDF Reader oder PDF Editor.
Eingeschleuste Skripte in der Dateivorschau
Bei der unter CVE-2026-119432 geführten Schwachstelle konnte ein Angreifer eine entsprechend präparierte Datei in Foxit Workspace hochladen und mit einer anderen Person teilen. Wenn diese die Datei in der integrierten Vorschau öffnete, konnte darin enthaltener Skriptcode im Sicherheitskontext der Webanwendung ausgeführt werden. Foxit nennt als mögliche Folge unter anderem den Zugriff auf lokal gespeicherte Zugangsdaten.
Technisch handelt es sich um gespeichertes Cross-Site-Scripting (Stored XSS), nicht um einen allgemeinen Fehler beim Anzeigen beliebiger PDFs in einem lokal installierten PDF-Programm. Der Angriff setzt nach der veröffentlichten Bewertung unter anderem geringe Zugriffsrechte für den Angreifer und eine Handlung der empfangenden Person voraus. Der CVSS-3.1-Wert beträgt 8,7 Punkte.
Weitere Schwachstellen beim Upload und PDF-Export
Zwei zusätzliche Fehler, CVE-2026-119431 und CVE-2026-119433, betrafen nach Angaben von Foxit die Verarbeitung von URLs und Netzwerkparametern bei Datei-Uploads und PDF-Exporten. Eine unzureichende Prüfung dieser Eingaben konnte es ermöglichen, dass Server des Anbieters auf Veranlassung eines Angreifers Anfragen an interne oder externe Netzwerkziele senden.
Solche Schwachstellen werden als Server-Side Request Forgery (SSRF) bezeichnet. Je nach erreichbarem Dienst können dadurch interne Systeme ausgekundschaftet oder Informationen offengelegt werden. Foxit bewertet beide Lücken mit jeweils 7,7 Punkten nach CVSS 3.1. Das Sicherheitsbulletin ordnet die CVE-Nummern nicht einzeln einem der beiden Vorgänge zu; beide gehören zum selben am 6. November korrigierten Workspace-Komplex.
Serverseitig korrigiert – kein Download für Anwender
Anders als bei einem klassischen Sicherheitsupdate für eine Desktop-Anwendung werden die betroffenen Funktionen bei Foxit Workspace als Online-Dienst bereitgestellt. Foxit erklärt ausdrücklich, dass die Schwachstellen mit der erfolgten Aktualisierung behoben wurden und keine Aktion auf Kundenseite erforderlich sei. Eine konkret zu installierende Programmversion oder ein separates Updatepaket nennt der Hersteller für diese Meldung nicht.
Für Unternehmen, die Workspace für die gemeinsame Bearbeitung, Vorschau und Freigabe von Dokumenten verwenden, liegt der praktische Unterschied vor allem in der Zuständigkeit: Die technische Korrektur erfolgt beim Dienstanbieter. Sinnvoll bleibt, Dateifreigaben auf notwendige Empfänger zu begrenzen und unerwartete Freigabeeinladungen vor dem Öffnen zu prüfen. Aus dem Bulletin geht nicht hervor, dass es bei Kunden tatsächlich zu einem Angriff oder Datenabfluss gekommen ist.
Keine neue Desktop-Version von Foxit Reader oder Editor
Die Workspace-Korrekturen sind von den Sicherheitsupdates der lokal installierten Foxit-Programme zu unterscheiden. Das Bulletin vom 6. November behandelt ausschließlich den cloudbasierten Dokumentenarbeitsplatz. Aussagen darüber, welche Version von Foxit PDF Reader oder PDF Editor auf einem Windows- oder macOS-Rechner installiert sein sollte, lassen sich daraus nicht ableiten.
Für diese Desktop-Anwendungen führt Foxit eigene Sicherheitsmeldungen mit betroffenen Versionsnummern und Downloadhinweisen. Die Trennung ist besonders für Administratoren wichtig, weil ein automatisch korrigierter Onlinedienst nicht anzeigt, ob lokal eingesetzte PDF-Software auf aktuellem Sicherheitsstand ist.
Weitere Informationen
Foxit: Sicherheitsbulletin vom 6. November 2026 zu Workspace mit den Angaben zu CVE-2026-119431, CVE-2026-119432 und CVE-2026-119433. Eine gleichwertige deutschsprachige Fassung der betreffenden Sicherheitsmeldung ist auf der offiziellen Website nicht verfügbar.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten