现代PDF平台已超越单纯文档浏览器的角色，正转变为高危攻击路径。人工智能安全初创公司Novee网络安全指出，在Foxit Software和Apryse Software两大PDF生态系统中发现了16个安全漏洞。报告警告称，PDF阅读器蕴含着与网络应用类似的复杂信任边界和数据流风险。这意味着仅需打开恶意文档或访问被篡改的URL，无需借助浏览器或操作系统即可执行代码或泄露数据。
已发现的漏洞广泛分布于客户端阅读器、嵌入式插件及服务器端PDF服务等层面，攻击者可借此实施基于文档对象模型（DOM）的跨站脚本攻击、利用数据泄露路径进行服务器端请求伪造、对后端协作服务进行路径遍历，以及在PDF软件开发工具包中注入操作系统命令。
多数漏洞源于PDF文件、网络地址或消息中提供的不受信输入，这些输入在未经统一验证的情况下，会传播至JavaScript引擎、WebAssembly组件、跨源iframe及后端渲染服务。此类攻击链从初始文档、URL或消息出发，经由客户端状态、iframe边界或postMessage处理器，最终抵达DOM渲染、内部网络请求、文件系统访问或操作系统命令执行等高危区域。
报告强调，文档平台功能越强大，信任假设失效时产生的危害就越严重。研究明确指出，PDF已不再是简单的文件格式，而是演变为危及整个系统安全的执行路径。
