Estoy probando una aplicación web donde la entrada del usuario se inserta directamente en un archivo PDF que luego se puede descargar.
La entrada del usuario se acepta tal como está, sin codificación o cualquier otra modificación. Este comportamiento suele ser explotable. Por ejemplo, con archivos csv podría inyectar fórmulas . En las aplicaciones web, esto obviamente abre XSS.
¿Hay algún vector de ataque para archivos PDF o el generador de PDF en segundo plano con información del usuario sin filtro?