به‌گفته‌ی سیسکو تالس، دو آسیب‌پذیری که به‌تازگی در ویرایش‌گر Nitro Pro PDF رفع شدند، ممکن است توسط عاملان مخرب به‌منظور اجرای کد از راه دور در میزبان‌های آسیب‌دیده مورد بهره‌برداری قرار گیرند.
Nitro Pro نوعی نرم‌افزار است که برای خواندن، ویرایش، امضا و ذخیره‌ی فایل‌های PDF طراحی شده است. در واقع بخشی از مجموعه ابزارهای سازمانی نرم‌افزار Nitro است که این شرکت ادعا می‌کند به افزایش بهره‌وری بیش از ۱۰ هزار سازمان کمک می‌کند.
پژوهش‌گران امنیتی سیسکو تالس ۳ آسیب‌پذیری را در برنامه‌ی PDF کشف کردند که دو مورد از آن‌ها برای اجرای کد از راه دور قابل بهره‌برداری هستند و هر دو در سیستم نمره‌دهی CVSS دارای امتیاز ۸٫۸ هستند.
اولین مورد از این آسیب‌پذیری‌ها که با شناسه‌ی CVE-2020-6074 ردیابی می‌شود، در pdf parser مربوط به Nitro Pro شناسایی شده است. مهاجمی که به‌دنبال بهره‌برداری از این اشکال است باید یک PDF دست‌کاری‌شده را به قربانی تحویل دهد تا منجر به ایجاد آسیب‌پذیری استفاده پس از آزادسازی و اجرای کد شود.
آسیب‌پذیری دوم با شناسه‌ی CVE-2020-6092 ردیابی می‌شود و در روشی که Nitro Pro اشیای Pattern را parse می‌کند، وجود دارد. مهاجم باید یک فایل PDF را دست‌کاری کند و قربانی را فریب دهد تا آن را باز کند تا منجر به سرریز عدد صحیح و سپس اجرای کد از راه دور شود.
پژوهش‌گران امنیتی سیسکو همچنین یک آسیب‌پذیری افشای اطلاعات را در این برنامه شناسایی کردند که با شناسه‌ی CVE-2020-6093 ردیابی می‌شود و در نمره‌دهی CVSS دارای امتیاز ۶٫۵ است. این اشکال به روش مدیریت خطای XML در Nitro Pro مربوط است.
رای بهره‌برداری از این آسیب‌پذیری، مهاجم باید یک سند PDF دست‌کاری‌شده را به قربانی تحویل دهد و او را برای باز کردن آن فایل فریب دهد. این مسأله ممکن است منجر به دسترسی به حافظه‌ای که مقداردهی اولیه نشده است، شود و برای افشای اطلاعات می‌توان از آن بهره‌برداری کرد. هر سه آسیب‌پذیری در ماه فوریه در Nitro Pro نسخه‌ی ۱۳٫۹٫۱٫۱۵۵ کشف و به شرکت گزارش داده شدند. در اوایل ماه مِه یک به‌روزرسانی امنیتی برای رفع این آسیب‌پذیری‌ها منتشر شد و به کاربران توصیه می‌شود تا برای محافظت از خود آن را نصب کنند.
