Spatie Browsershot: Lesen lokaler Dateien über setHtml() bei der HTML-Darstellung
Zusammenfassung
Spatie Browsershot ab Version 2.2.0 bis vor 5.5.0 erlaubt das Lesen lokaler Dateien, wenn das an setHtml() übergebene HTML root-relative Verweise wie /etc/passwd in iframe-, img-, link- oder script-Elementen enthält. Diese werden zu file://-URLs aufgelöst, und der Inhalt wird in das zurückgegebene PDF oder Screenshot gerendert. Ein Angreifer, der das HTML beeinflussen kann, kann Dateien lesen, auf die der Rendering-Prozess zugreifen kann, zum Beispiel Konfigurationsdateien oder Geheimnisse. Die Schwachstelle setzt voraus, dass vom Angreifer beeinflusstes HTML an die Bibliothek gelangt.
Betroffen
- spatie/browsershot ab 2.2.0 bis vor 5.5.0
- Versionen vor 2.2.0: Unbekannt.
Behoben in
- Behoben in 5.5.0. Lokale Dateizugriffe aus html() und setHtml() werden standardmässig blockiert.
Umgehung
- Unbekannt. Für ältere Versionen wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Kein unvertrauenswürdiges HTML an html() oder setHtml() übergeben.
- Den Rendering-Prozess als Benutzer mit niedrigen Rechten ohne Zugriff auf Geheimnisse ausführen.
Ausnutzung
- Ausnutzung in freier Wildbahn: Nicht bestätigt.
- Öffentlicher Proof of Concept: Keiner gefunden.
- Frühere Dateilese-Probleme bei Browsershot waren Umgehungen früherer Fixes; für 5.5.0 ist bisher keine Umgehung gemeldet.
Unsere Empfehlung
- Alle Projekte mit spatie/browsershot finden (composer.lock prüfen) und die Version notieren.
- Auf 5.5.0 oder neuer aktualisieren.
- PDF- und Screenshot-Ausgaben neu testen, da lokale Bilder, Stylesheets und Skripte nun fehlen können.
- Alle Aufrufe von html() und setHtml() auf benutzerbeeinflusste Eingaben prüfen.
- Dateisystemzugriff des Rendering-Prozesses einschränken.
- Auf Proof-of-Concept-Berichte und die NVD-Analyse achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record source: VulnCheck advisory www.vulncheck.com
- Spatie Browsershot release 5.5.0 github.com
- Fix commit eba71ab (block local file requests) github.com
- Pull request #989 github.com
- Browsershot.php at 2.2.0 github.com
- CVE-2026-126779 mirror (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:25.
Referenzen der NVD (5)
- https://github.com/spatie/browsershot/blob/2.2.0/src/Browsershot.php#L242-L248
- https://github.com/spatie/browsershot/commit/eba71ab7f4aba23d9321d653ccd19d4e94432516
- https://github.com/spatie/browsershot/pull/989
- https://github.com/spatie/browsershot/releases/tag/5.5.0
- https://www.vulncheck.com/advisories/spatie-browsershot-2.2.0-before-5.5.0-local-file-read-via-sethtml
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.