PT-2024-34506 · Tcpdf+2 · Tcpdf+2

Saravana Kumar · Publicado 2024-11-26 · Atualizado 2025-08-21 · CVE-2024-51058

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.2

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas:

TCPDF versão 6.7.5

Descrição:

Foi detectada uma vulnerabilidade de inclusão de arquivo local (LFI), que permite que um usuário leia arquivos arbitrários do sistema de arquivos do servidor por meio da tag src em um elemento img, expondo potencialmente informações confidenciais.

Recomendações:

Para o TCPDF versão 6.7.5, considere desativar a tag img ou restringir o atributo src para impedir a exploração até que um patch esteja disponível. Restrinja o acesso a arquivos confidenciais no servidor para minimizar o risco de exposição de informações. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-552

Identificadores relacionados

BDU:2025-10863

CVE-2024-51058

DLA-4199-1

DSA-5933-1

GHSA-RMV2-8JJC-23XW

Produtos afetados

Debian

Red Os

Tcpdf

Referências · 18

• 🔥 https://github.com/saravana-hackz/vulnerability-research/tree/main/CVE-2024-51058 · Exploit
• https://github.com/tecnickcom/TCPDF/commit/bfa7d2b6d455ebf72ebe3d48fbd487ee5a1f6f3b · Correção
• https://github.com/tecnickcom/TCPDF · Nota
• https://osv.dev/vulnerability/CVE-2024-51058 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-10863 · Nota de Segurança
• https://osv.dev/vulnerability/DLA-4199-1 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2025/06/msg00004.html · Nota
• http://repo.red-soft.ru/redos/7.3c/x86_64/updates · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-51058 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-tcpdf-21082025 · Nota
• https://security-tracker.debian.org/tracker/CVE-2024-51058 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1861474962814505030 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2024-51058 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-51058 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-rmv2-8jjc-23xw · Aviso do Fabricante