CVE-2025-56589

WysokieCVSS 7.5

Opublikowano: 22/01/2026(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

W bibliotece Apryse HTML2PDF SDK do wersji 11.6.0 wykryto podatności Local File Inclusion (LFI) i Server-Side Request Forgery (SSRF) w funkcji InsertFromHtmlString(). Umożliwiają one atakującemu odczyt lokalnych plików na serwerze oraz wykonywanie dowolnych żądań HTTP do usług wewnętrznych lub zewnętrznych.

Ocena ryzyka

Ryzyko obejmuje wyciek poufnych danych (np. plików konfiguracyjnych, haseł) oraz potencjalne przejęcie kontroli nad systemem poprzez wykorzystanie SSRF do ataku na wewnętrzne zasoby.

Rekomendacja

Należy natychmiast zaktualizować Apryse HTML2PDF SDK do wersji nowszej niż 11.6.0, jeśli dostępna, lub zastosować tymczasowe zabezpieczenia, takie jak walidacja danych wejściowych i ograniczenie dostępu do funkcji InsertFromHtmlString().

Inne podatności w Apryse HTML2PDF SDK

CVE-2025-56590Krytyczne
W funkcji InsertFromURL() zestawu SDK Apryse HTML2PDF do wersji 11.10 wykryto podatność, która może pozwolić atakującemu na wykonanie dowolnych poleceń systemu operacyjnego na lokalnym serwerze.

Oryginalny opis (angielski, źródło NVD)

A Local File Inclusion (LFI) and a Server-Side Request Forgery (SSRF) vulnerability was found in the InsertFromHtmlString() function of the Apryse HTML2PDF SDK thru 11.6.0. These vulnerabilities could allow an attacker to read local files on the server or make arbitrary HTTP requests to internal or external services. Both vulnerabilities could lead to the disclosure of sensitive data or potential system takeover.