CVE-2026-59943 in Dompdf
Zusammenfassung
von VulDB • 28.07.2026
Dompdf ist ein HTML-zu-PDF-Konverter für PHP. In den Versionen 3.15 und früheren Versionen kann ein böswilliger Akteur, der unbeschränkte Inhalte zur Darstellung durch Dompdf bereitstellen kann, die SVG-Rendering-Funktionalität nutzen, um Informationen über das Dateisystem preiszugeben, wenn PDF-Dateien unter Verwendung von Bildreferenzen in einem mit einer data-URI codierten SVG-Dokument gerendert werden. Durch Verwenden eines `<image>`-Elements innerhalb eines eingebetteten SVGs mit einer data-URI kann ein Angreifer versuchen, andere Dateien über die Attribute `href` oder `xlink:href` einzubetten. Bei der Verarbeitung einer Datei, die nicht existiert (z. B. file:///DOESNOTEXIST), verhält sich Dompdf anders als beim Zugriff auf eine tatsächlich im Dateisystem vorhandene Datei oder ein Verzeichnis. Dieses Problem wurde in Version 3.16 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.