## https://sploitus.com/exploit?id=1B97A135-40DA-5D6A-A356-05F36B943967
Command Injection quando processa URLs não sanitizadas. Isso acontece porque o pdfkit passa a URL diretamente para o binário wkhtmltopdf sem sanitização adequada, e wkhtmltopdf pode interpretar partes da URL como comandos do shell se houver caracteres maliciosos.
Como funciona o ataque?
A vulnerabilidade está na forma como o PDFKit.new(url) lida com a URL. Se você passar algo como:
PDFKit.new("http://example.com`comando_malicioso`")
O pdfkit monta uma linha de comando assim (simplificada):
wkhtmltopdf "http://example.com`comando_malicioso`" output.pdf
O shell interpreta o que está entre os backticks (` `) como um comando a ser executado. Então o comando_malicioso roda no servidor — RCE (Remote Code Execution)!