CVE-2019-1000005
Açıklama
mPDF 7.1.7 ve önceki sürümleri, Image/ImageProcessor sınıfının getImage() metodunda keyfi kod çalıştırma, dosya yazma vb. sonuçlar doğurabilen bir CWE-502: Güvenilmeyen Verilerin Serileştirmesi (Deserialization of Untrusted Data) zafiyeti içermektedir. Bu saldırının, saldırganın kurban sunucuda özel olarak hazırlanmış bir görüntüyü barındırması ve <img src="phar://path/to/crafted/image"> içeriğine sahip bir PDF dosyasının oluşturulmasını tetiklemesi yoluyla gerçekleştirilebildiği görülmektedir. Bu zafiyetin 7.1.8 sürümünde giderildiği anlaşılmaktadır.
Nasıl düzeltilir
- mpdf/mpdf7.1.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mpdf_project mpdf | v ≤ 7.1.7 | — |
| mpdf/mpdfPackagist | v < 7.1.8 | 7.1.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.