CVE-2026-114609

Nome do Software Vulnerável e Versões Afetadas fpdf2 versões anteriores a 2.8.8

Descrição O carregador de imagens compartilhado nesta biblioteca de criação de PDF desreferencia automaticamente URLs HTTP(S) e caminhos locais brutos controlados por atacantes. Isso ocorre quando a entrada é fornecida através da função FPDF.image(), valores <img src> de HTML em FPDF.write html(), valores <image href> ou xlink:href de SVG e campos de imagem de modelo. Esse comportamento pode levar a requisições externas para serviços internos ou externos selecionados por atacantes e tentativas de abertura de arquivos locais, embora o conteúdo local seja exposto apenas se for um recurso de imagem ou SVG suportado. Como URLs file:// não são tratadas especialmente, a exploração de caminhos locais requer um caminho de sistema de arquivos bruto.

Recomendações Atualize para a versão 2.8.8.