- Yama var
- Son 7 gün
- CWE-918
CVE-2026-114609
fpdf2 kütüphanesinde saldırgan kontrollü içerikte harici URL ve yerel yollara örtük erişim
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
fpdf2, Python için bir PDF oluşturma kütüphanesidir. 2.8.8 sürümünden önce, fpdf2'nin ortak görüntü yükleyicisi; FPDF.image üzerinden, FPDF.write_html HTML <img src> değerlerinde, SVG <image href> veya xlink:href değerlerinde ve şablon görüntü alanlarında sağlanan saldırgan kontrollü HTTP(S) URL'lerini ve ham yerel yolları otomatik olarak çözümlemektedir. Bu durum, saldırgan tarafından seçilen dahili veya harici servislere giden isteklere ve yerel dosya açma girişimlerine yol açabilir; ancak yerel içerik yalnızca geçerli ve desteklenen bir görüntü veya SVG kaynağı olduğunda açığa çıkmaktadır. file:// URL'leri özel olarak işlenmediğinden, yerel yol senaryosu ham bir dosya sistemi yolu gerektirir. Bu sorun 2.8.8 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
fpdf2 is a PDF creation library for Python. Prior to 2.8.8, fpdf2's shared image loader automatically dereferences attacker-controlled HTTP(S) URLs and raw local paths supplied through FPDF.image(), FPDF.write_html() HTML <img src> values, SVG <image href> or xlink:href values, and template image fields. This can cause outbound requests to attacker-selected internal or external services and local file open attempts, although local content is exposed only when it is a valid supported image or SVG resource. file:// URLs are not specially handled, so the local-path case requires a raw filesystem path. This issue is fixed in version 2.8.8.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| py-pdf fpdf2 | < 2.8.8 | 2.8.8 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…/fpdf2/security/advisories/GHSA-rw7v-4hrq-x6r9 Diğer
- github.com/py-pdf/fpdf2/pull/1824 Diğer
- github.com/py-pdf/fpdf2/pull/1857 Diğer
- github.com/…ommit/0d27190a8c907e02ebe9cd881471a14d0622b432 Diğer
- github.com/…ommit/6e23f610b7946e96e9a5dd0535dcbfbe7ac1397d Diğer
- github.com/py-pdf/fpdf2/releases/tag/2.8.8 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.