Dompdf <2.0.3 存在解释冲突漏洞-低调大师

Dompdf <2.0.3 存在解释冲突漏洞

2023-02-08 445

漏洞描述

Dompdf 是一个用 php 编写的 HTML 到 PDF 转换器。

2.0.3 之前版本的 Dompdf 和 php-svg-lib（用于解析 svg 文件）的属性解析器不同：在解析 image 标签的 href 属性时，如果同时指定了 xlink:href 和 href 属性值，Dompdf 解析器解析 xlink:href 属性值，而 php-svg-lib 优先解析 href 属性值。如果攻击者可向 Dompdf 提供 SVG 文件，则可通过提供空的 xlink:href 属性绕过 Dompdf 端的保护，进而以任意协议调用任意 URL，导致文件删除或远程代码执行。

漏洞名称	Dompdf <2.0.3 存在解释冲突漏洞
漏洞类型	解释冲突
发现时间	2023-02-08
漏洞影响广度	小
MPS编号	MPS-2023-3319
CVE编号	CVE-2023-24813
CNVD编号	-

影响范围

dompdf/dompdf@[0.6.0, 2.0.3)

修复方案

升级dompdf/dompdf到 2.0.3 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-3319

https://nvd.nist.gov/vuln/detail/CVE-2023-24813

https://github.com/dompdf/dompdf/commit/95009ea98230f9b084b040c34e3869ef3dccc9aa

https://github.com/dompdf/dompdf/security/advisories/GHSA-56gj-mvh6-rp75

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/227581

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

OAuthApp v2.2.8 更新，前端发布工具

OAuthApp 是一个前端发布工具，用于快速开发前端网页项目，并发布到服务器。具有引入脚本库就能使用服务端 API、在线发布 H5、站点数据独立存储的特性。 2023-2-8 主要更新 1，[新增]用户管理增加按角色筛选。 2，[优化]站点日志采集优化。 3，[优化]数据库迁移到应用站点下。 4，[新增]数据自动备份。相关链接：网址：https://www.oauthapp.com/ 文档：https://web.oauthapp.com/4/docs 相关截图

2023-02-08

356

2023年2月7日，国产汽车基础软件厂商国科础石正式对外发布础光操作系统整体规划及开源计划，并率先将应用在智能汽车座舱域、自动驾驶域的础光Linux进行开源，以此作为国科础石开源计划实施的起点。开源地址：https://gitee.com/kernelsoft 国科础石计划在2023年逐步开源础光Linux、础光实时操作系统及础光虚拟机管理器（Hypervisor），2024年将面向自动驾驶域的础光智能操作系统进行开源；同时对于智能汽车更大算力、更高实时、更加中央化的计算架构、更复杂的安全和隐私的计算需求，启动全新车用操作系统内核的研发工作。国科础石是一家面向汽车和自主无人系统领域的基础软件厂商，开展汽车基础软件技术研究，发展操作系统、中间件等基础软件产品。此次发布的汽车操作系统整体规划是面向目前智能汽车在座舱域、自动驾驶域、车控域等领域的操作系统需求，建设础光Linux、础光实时操作系统及础光虚拟机管理器（Hypervisor）等产品。同时针对未来汽车多域融合和计算集中的发展趋势，打造面向下一代智能汽车的汽车操作系统整体解决方案及支持多核异构环境下的混合关键内核操作系统。此次...

2023-02-08

436

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。