平台
php
组件
spatie/browsershot
修复版本
5.0.2
5.0.2
CVE-2024-21547 是 spatie/browsershot 软件包中的一个目录遍历漏洞。该漏洞允许攻击者绕过文件访问限制，读取服务器上的敏感文件。该漏洞影响 spatie/browsershot 的版本小于或等于 5.0.1。建议立即升级到 5.0.2 版本以消除此风险。
该漏洞的潜在影响非常严重。攻击者可以利用它来读取服务器上的任何文件，包括配置文件、数据库凭证、源代码和其他敏感信息。这可能导致数据泄露、系统入侵和进一步的攻击。由于该漏洞涉及 URI 规范化绕过，攻击者可能不需要任何特殊权限即可利用它，这使得攻击范围非常广泛。如果服务器上存储了敏感数据，或者该软件包被用于处理用户上传的文件，那么该漏洞的风险将进一步增加。
该漏洞已公开披露，并且可能存在公开的利用代码。目前尚无关于该漏洞被积极利用的报告，但由于其易于利用，因此存在被利用的风险。该漏洞尚未被添加到 CISA KEV 目录中。建议密切关注安全社区的最新动态，并及时采取缓解措施。
Applications using the spatie/browsershot package in their PHP projects are at risk. This includes websites and web applications that rely on browsershot for generating screenshots or PDFs from web pages. Shared hosting environments where the spatie/browsershot package is installed globally are particularly vulnerable.
• php / composer:
composer show spatie/browsershotIf the version is <=5.0.1, the system is vulnerable. • generic web:
curl -I 'http://your-website.com/browsershot?url=file:\\\/etc/passwd' # Check for 200 OK and file content in response• generic web:
Check access logs for requests containing file:\\\
disclosure
漏洞利用状态
EPSS
0.05% (16% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级到 spatie/browsershot 5.0.2 或更高版本。如果升级会导致应用程序中断，可以考虑使用 Web 应用程序防火墙 (WAF) 或反向代理来过滤恶意请求，阻止对 file:// 协议的访问。此外，应审查应用程序的代码，确保所有文件访问都经过适当的验证和清理，以防止目录遍历攻击。在升级后，请验证文件访问控制是否仍然有效，并检查服务器日志中是否存在任何可疑活动。
Actualice la biblioteca spatie/browsershot a la versión 5.0.2 o superior. Esto solucionará la vulnerabilidad de path traversal. Ejecute `composer update spatie/browsershot` para actualizar a la versión segura.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-21547 是 spatie/browsershot 软件包中发现的目录遍历漏洞，影响版本小于或等于 5.0.1 的用户。攻击者可以利用该漏洞读取服务器上的任意文件。
如果您正在使用 spatie/browsershot 的版本小于或等于 5.0.1，则您可能受到影响。请立即检查您的依赖项版本。
升级到 spatie/browsershot 5.0.2 或更高版本以修复此漏洞。
目前尚无关于该漏洞被积极利用的报告，但由于其易于利用，因此存在被利用的风险。
请访问 spatie/browsershot 的 GitHub 仓库或官方网站，查找有关此漏洞的公告和修复说明。