PT-2026-63554
CVE-2026-59942
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dompdf السابقة للإصدار 3.16
الوصف
يُعتبر Dompdf عرضة لهجوم «رفض الخدمة» (DoS) عن طريق استنفاد الموارد. يمكن لمهاجم بعيد غير مصدق أن يتسبب في تعطل عملية PHP عن طريق إرسال مستند HTML مصمم خصيصًا يحتوي على صورة واحدة ذات أبعاد ضخمة، مثل 30,000 × 30,000 بكسل. وعلى الرغم من أن البرنامج يقوم بالتحقق الأولي من الأبعاد، إلا أنه يمكن تجاوز ذلك باستخدام صورة ذات إنتروبيا عالية (مثل الضوضاء العشوائية) مشفرة بـ Base64 ومغلفة في حاويات CSS محددة.
تحدث هذه المشكلة لأن تخصيص الموارد لحساب الصندوق المحيط للكائن والمخازن المؤقتة الداخلية أثناء مرحلة العرض — وتحديدًا عند استدعاء الدالة
render() — لا يحد بشكل صارم من الوقت التراكمي لوحدة المعالجة المركزية (CPU) أو استخدام الذاكرة للكائنات التي اجتازت الفحص الأولي. تؤدي معالجة صورة ذات إنتروبيا عالية إلى إجبار المحرك على التعامل مع الصورة النقطية غير المضغوطة في الذاكرة، مما يؤدي إلى تشبع وحدة المعالجة المركزية بنسبة 100٪ وتخصيص ذاكرة هائل (حوالي 1.2 جيجابايت لصورة واحدة)، وهو ما يؤدي إلى حدوث خطأ فادح أو إشارة SIGKILL على مستوى نظام التشغيل (نفاد الذاكرة)، مما يؤدي إلى تعطل الخادم تمامًا.التوصيات
التحديث إلى الإصدار 3.16.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾