PT-2026-50925 · Pontedilana · Php-Weasyprint

Publicado 2026-06-19 · Atualizado 2026-06-19 · CVE-2026-49358

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.0

Baixa

Vetor base

AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas PhpWeasyPrint versões anteriores a 2.6.0

Descrição O PhpWeasyPrint é uma biblioteca PHP utilizada para gerar PDFs a partir de páginas HTML ou URLs. O array público AbstractGenerator::$temporaryFiles permite que qualquer código com uma referência a uma instância do gerador insira caminhos de arquivos arbitrários. Como a função removeTemporaryFiles(), que é chamada por destruct() e por uma função de desligamento registrada, executa o unlink() em todas as entradas deste array sem verificar se os caminhos estão dentro da pasta temporária designada, um invasor pode causar a exclusão de arquivos arbitrários ao encerrar a execução do script.

Recomendações Atualizar para a versão 2.6.0.

Correção

Enumeração de Fraquezas

CWE-73

Identificadores relacionados

CVE-2026-49358

Produtos afetados

Php-Weasyprint

Referências · 6

• https://github.com/pontedilana/php-weasyprint/releases/tag/2.6.0 · Nota
• https://github.com/pontedilana/php-weasyprint/commit/6d328ffd3bcb800c7c2e8a594b1bff0c099c9391 · Nota
• https://github.com/KnpLabs/snappy/security/advisories/GHSA-87qc-37cw-84h4 · Nota
• https://github.com/pontedilana/php-weasyprint/security/advisories/GHSA-5g9f-cwwg-4p8g · Nota
• https://twitter.com/VulmonFeeds/status/2068009046481739798 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-49358 · Nota de Segurança