CVE-2026-114609
fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content
CVSS 3.1Medium
5.8/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.8.8
Обновить библиотеку fpdf2 до версии 2.8.8 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Библиотека fpdf2 неявно загружает внешние URL и локальные файлы изображений при обработке невалидированного контента, приводя к SSRF и утечке файлов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В fpdf2 до 2.8.8 встроенный загрузчик изображений автоматически выполняет запросы по внешним HTTP(S)-адресам и открывает локальные пути, переданные в FPDF.image(), теги HTML <img src>, SVG <image href> и поля шаблонов. Чтение файлов ограничено форматами поддерживаемых изображений и SVG.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
SSRF в отношении внутренних сервисов инфраструктуры, зондирование внутренней сети и несанкционированное чтение графических файлов с файловой системы сервера.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
py-pdffpdf2
все ранние➔Fix: 2.8.8
——
>= 0➔Fix: 2.8.8
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/py-pdf/fpdf2/security/advisories/GHSA-rw7v-4hrq-x6r9
- github.comhttps://github.com/py-pdf/fpdf2/pull/1824
- github.comhttps://github.com/py-pdf/fpdf2/pull/1857
- github.comhttps://github.com/py-pdf/fpdf2/commit/0d27190a8c907e02ebe9cd881471a14d0622b432
- github.comhttps://github.com/py-pdf/fpdf2/commit/6e23f610b7946e96e9a5dd0535dcbfbe7ac1397d
- github.comhttps://github.com/py-pdf/fpdf2/releases/tag/2.8.8
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114609: fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content. URL: https://cve.futuretools.ru/cve/CVE-2026-114609
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114609,
title = {{CVE-2026-114609: fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114609}},
note = {Оперативный инженерный анализ киберугроз}
}