CVE-2026-49286
Təsvir
PhpWeasyPrint, URL və ya HTML səhifədən PDF generasiyasına imkan verən bir PHP kitabxanasıdır. Versiya 2.6.0-dan əvvəl `pontedilana/php-weasyprint` çıxış faylının adını `phar://` axın sarıcısına (stream wrapper) qarşı böyük-kiçik hərflərə həssas olan qara siyahı ilə qoruyurdu. PHP axın sarıcıları böyük-kiçik hərflərə həssas olmadığı üçün `PHAR://`, `Phar://` və s. bu yoxlamanı yan keçir və `prepareOutput()` funksiyasındakı `fileExists()` (`file_exists()`) hissəsinə çatır. Kitabxananın hələ də dəstəklədiyi PHP 7 (PHP 7.4+) versiyasında bu, xüsusi hazırlanmış PHAR arxivinin metadata-sının deserializasiyasını tetikləyərək uzaqdan kodun icrasına gətirib çıxarır. Bu, CVE-2023-28115 boşluğunun yamasının yan keçilməsidir. Eyni problem və düzəliş üst axında KnpLabs/snappy (GHSA-92rv-4j2h-8mjj) tərəfindən həll edilmişdir. PhpWeasyPrint versiya 2.6.0 bu problem üçün yama daxil edir.
Necə düzəltmək olar
- pontedilana/php-weasyprint2.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pontedilana/php-weasyprintPackagist | v < 2.6.0 | 2.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.