PT-2024-18194 · Unknown · Pyhtml2Pdf

Carlos Bello · Publicado 2024-02-19 · Atualizado 2025-12-03 · CVE-2024-1647

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Pyhtml2pdf versão 0.0.6

Descrição

A vulnerabilidade permite que um invasor externo obtenha remotamente arquivos locais arbitrários. Isso é possível porque o aplicativo não valida o conteúdo HTML inserido pelo usuário.

Recomendações

Para o Pyhtml2pdf versão 0.0.6, considere validar o conteúdo HTML inserido pelo usuário para impedir o acesso remoto a arquivos locais. Como solução temporária, restrinja a capacidade do aplicativo de acessar arquivos locais até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-1647

GHSA-P3RV-QJ56-2FQX

PYSEC-2024-301

Produtos afetados

Pyhtml2Pdf

Referências · 13

• 🔥 https://fluidattacks.com/advisories/oliver · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/pyhtml2pdf/PYSEC-2024-301.yaml · Nota
• https://pypi.org/project/pyhtml2pdf · Nota
• https://twitter.com/cracbot/status/1760182608963752038 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-p3rv-qj56-2fqx · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1759744986135032007 · Publicação no Twitter
• https://t.me/cvenotify/111079 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-1647 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-1647 · Aviso do Fabricante
• https://twitter.com/fluidattacks/status/1780361023607673315 · Publicação no Twitter
• https://t.me/cveNotify/144679 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2024-301 · Aviso do Fabricante
• https://t.me/cvenotify/71927 · Publicação no Telegram