PT-2022-12341 · Unknown · Spipu Html2Pdf

Publicado 2022-01-18 · Atualizado 2022-07-12 · CVE-2021-45394

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Spipu HTML2PDF anteriores à 5.2.4

Descrição

Foi descoberta uma vulnerabilidade que permite que invasores provoquem a desserialização de dados arbitrários por meio da injeção de uma tag maliciosa no documento HTML convertido.

Recomendações

Para versões anteriores à 5.2.4, atualize para a versão 5.2.4 ou posterior para resolver o problema.

Exploit

Correção

XSS

Deserialization of Untrusted Data

SSRF

Enumeração de Fraquezas

CWE-79

CWE-502

CWE-918

Identificadores relacionados

CVE-2021-45394

GHSA-6M93-343M-3JRC

Produtos afetados

Spipu Html2Pdf

Referências · 9

• 🔥 https://synacktiv.com/sites/default/files/2022-01/html2pdf_ssrf_deserialization.pdf · Exploit
• https://github.com/spipu/html2pdf · Nota
• https://github.com/spipu/html2pdf/blob/master/CHANGELOG.md · Nota
• https://github.com/spipu/html2pdf/commit/100a4d509abf8550765cf0e0da83e83abb422585 · Nota
• https://github.com/spipu/html2pdf/releases/tag/v5.2.4 · Nota
• https://github.com/spipu/html2pdf/commit/2e6bab9a2afe9cfd4d3c3038da64d8ad74e41d7f · Nota
• https://osv.dev/vulnerability/CVE-2021-45394 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6m93-343m-3jrc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-45394 · Nota de Segurança