CVE-2026-59941 in Dompdf
Zusammenfassung
von VulDB • 29.07.2026
Dompdf ist ein HTML-zu-PDF-Konverter für PHP. Die Versionen 3.15 und älter akzeptieren BMP-Bilder und generieren eine PDF-kompatible PNG-Datei, die ausschließlich auf den im Header deklarierten Abmessungen basiert; vor der Konvertierung durch GD werden keine Grenzen für Breite × Höhe überprüft. Ein 58 Byte großes BMP, dessen Header beispielsweise 6000×6000 angibt, wird akzeptiert und führt später dazu, dass imagecreatetruecolor($width, $height) (sowie der native BMP-Decoder von PHP) den gesamten Pixelcanvas alloziert. Eine Payload kann in einer einzigen HTTP-Anfrage untergebracht werden: Das BMP kann als data:image/bmp;base64,…-URI innerhalb eines vom Angreifer kontrollierten HTML-Dokuments inline eingebettet sein, sodass kein Upload, kein Remote-Fetch und keine chroot-reachbare Datei erforderlich sind. Ich habe eine 169 Byte große Anfrage gemessen, die ein dompdf-Rendering zu einem Spitzenwert von ~412 MB RSS (~34 MB für eine identisch große harmlose Anfrage) und einer CPU-/Wandzeit von ~4,8 s führte – was etwa einer 12-fachen Speicheramplifikation pro Anfrage entspricht; das Verhalten ist wiederholbar und erfordert keine Authentifizierung. Dieses Problem wurde in Version 3.16 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.