p PatchFirst

CVE-2021-3838

CVE-2021-3838 · PHAR Deserialization in dompdf/dompdf

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

DomPDF before version 2.0.0 is vulnerable to PHAR deserialization due to a lack of checking on the protocol before passing it into the file_get_contents() function. An attacker who can upload files of any type to the server can pass in the phar:// protocol to unserialize the uploaded file and instantiate arbitrary PHP objects. This can lead to remote code execution, especially when DOMPdf is used with frameworks with documented POP chains like Laravel or vulnerable developer code.

CVSS 9.8 · Crítica · EPSS 1,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · php

Productos y versiones afectados

  • dompdf/dompdf

    Versiones
    • ≥ unspecified, < 2.0.0: Afectada (custom)

    Actualiza a 2.0.0

  • php-dompdf Debian:12

    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.0.2+dfsg-1

    Actualiza a 2.0.2+dfsg-1

  • dompdf/dompdf Packagist

    Versiones
    • v0.6.0
    • v0.6.1
    • v0.6.2
    • v0.7.0
    • v0.7.0-beta
    • v0.7.0-beta2
    • v0.7.0-beta3
    • v0.8.0
    • v0.8.1
    • v0.8.2
    • v0.8.3
    • v0.8.4
    • v0.8.5
    • v0.8.6
    • v1.0.0
    • v1.0.1
    • v1.0.2
    • v1.1.0
    • v1.1.1
    • v1.2.0
    • v1.2.1
    • v1.2.2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.0.0

    Actualiza a 2.0.0

  • php-dompdf Ubuntu:Pro:16.04:LTS

    Versiones
    • 0.6.1+dfsg-2
    • 0.6.1+dfsg-2build1
    • 0.6.1+dfsg-2ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 0.6.1+dfsg-2ubuntu1+esm1

    Actualiza a 0.6.1+dfsg-2ubuntu1+esm1

  • php-dompdf Ubuntu:Pro:18.04:LTS

    Versiones
    • 0.6.2+dfsg-3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 0.6.2+dfsg-3ubuntu0.18.04.1~esm1

    Actualiza a 0.6.2+dfsg-3ubuntu0.18.04.1~esm1

  • php-dompdf Ubuntu:20.04:LTS

    Versiones
    • 0.6.2+dfsg-3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 0.6.2+dfsg-3ubuntu0.20.04.1

    Actualiza a 0.6.2+dfsg-3ubuntu0.20.04.1

  • php-dompdf Ubuntu:22.04:LTS

    Versiones
    • 0.6.2+dfsg-3.1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 0.6.2+dfsg-3.1ubuntu0.1

    Actualiza a 0.6.2+dfsg-3.1ubuntu0.1

Fuentes originales

Comprueba tu servidor →