Uma falha lógica crítica descoberta na biblioteca PHP mPDF, amplamente utilizada, poderia expor redes internas e serviços confidenciais em aproximadamente 70 milhões de dispositivos em todo o mundo.
A vulnerabilidade decorre da análise inadequada de expressões regulares, que permite que invasores emitam solicitações da Web não autorizadas, mesmo quando a entrada do usuário parece limpa.
mPDF, um código aberto PHP biblioteca para geração de PDFs a partir de HTML, contém uma vulnerabilidade perigosa em sua análise CSS.
A biblioteca processa regras CSS @import sem validar adequadamente sua localização no documento HTML.
Esse descuido significa que os invasores podem criar entradas maliciosas que ignoram funções de sanitização padrão, como htmlentities() e htmlspecialchars().
A vulnerabilidade permite que invasores iniciem falsificação de solicitação no lado do servidor (SSRF) ataca e investiga redes internas.
Ao injetar diretivas @import especialmente criadas, um invasor pode forçar o servidor vulnerável a fazer solicitações a serviços internos, incluindo Redis, MySQL e outros aplicativos acessíveis pela rede.
A falha é particularmente perigosa porque funciona mesmo quando os desenvolvedores implementam o que acreditam ser uma higienização segura de entradas.
O pesquisador de segurança brun0ne descobriu a falha e demonstrou que os invasores poderiam explorar o protocolo Gopher suportado pelo cURL, que o mPDF usa para fazer solicitações da web e enviar dados TCP arbitrários para serviços internos.
Isso permite a verificação de portas de redes locais e a gravação de arquivos potencialmente arbitrários por meio de serviços como o Redis.
O pesquisador forneceu um código de prova de conceito mostrando como o ataque poderia ser executado em um cenário do mundo real.
O descobridor relatado a vulnerabilidade aos mantenedores do mPDF em maio de 2025 e solicitou um identificador CVE no final de maio.
No entanto, a organização MITRE CVE rejeitou o pedido em outubro, argumentando que a falha constitui um comportamento intencional e não uma vulnerabilidade.
A rejeição alegou que os usuários do mPDF são responsáveis por implementar sua própria higienização, e não os desenvolvedores da biblioteca.
Apesar da falta de uma designação oficial de CVE, as implicações permanecem graves. Qualquer aplicativo que use mPDF para processar entradas controladas pelo usuário está vulnerável a comprometimentos.
As organizações que atualmente usam o mPDF devem implementar validação de entrada adicional bloqueando caracteres especiais, incluindo@,(,),:,/, ou considerar a migração para soluções alternativas de geração de PDF com proteções de segurança mais fortes.
A vulnerabilidade destaca uma lacuna crítica entre as expectativas dos desenvolvedores de bibliotecas e as práticas de segurança do mundo real.
Embora a equipe do mPDF afirme que os aplicativos que usam sua biblioteca devem implementar a higienização de entrada adequada, a demonstração prova que as funções padrão de higienização do PHP são insuficientes contra essa falha lógica específica.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial em Google.