CVE-2019-17221

PhantomJS वेबपेज खोलने, बंद करने, रेंडर करने और उन पर कई क्रियाएं करने के लिए आंतरिक मॉड्यूल webpage का उपयोग करता है, जिसमें एक मनमानी फ़ाइल पढ़ने की भेद्यता मौजूद है। यह भेद्यता webpage मॉड्यूल के page.open() फ़ंक्शन में मौजूद है, जो निर्दिष्ट URL को लोड करता है और दिए गए कॉलबैक को कॉल करता है। HTML फ़ाइल खोलते समय, एक हमलावर विशेष रूप से तैयार की गई फ़ाइल सामग्री प्रदान कर सकता है, जो फाइलसिस्टम पर मनमानी फ़ाइलों को पढ़ने की अनुमति देती है। इस भेद्यता को page.render() को फ़ंक्शन कॉलबैक के रूप में उपयोग करके प्रदर्शित किया जाता है, जिसके परिणामस्वरूप लक्षित फ़ाइल का PDF या एक छवि उत्पन्न होती है।