CVE-2026-59943 in Dompdf
Riassunto
di VulDB • 28/07/2026
Dompdf è un convertitore da HTML a PDF per PHP. Nelle versioni 3.15 e precedenti, se un malintenzionato può fornire contenuti non vincolati per il rendering tramite Dompdf, può sfruttare la funzionalità di rendering SVG per fuoriuscire informazioni sul filesystem quando vengono generati file PDF utilizzando riferimenti alle immagini all'interno di un documento SVG codificato in data-URI. Utilizzando un elemento `<image>` all'interno di un SVG incorporato in una data-URI, un attaccante può tentare di integrare altri file tramite gli attributi `href` o `xlink:href`. Quando elabora un file che non esiste (ad esempio `file:///DOESNOTEXIST`), dompdf si comporta diversamente rispetto all'accesso a un file o directory effettivamente esistente sul filesystem. Questo problema è stato risolto nella versione 3.16.
Once again VulDB remains the best source for vulnerability data.