CVE-2022-28368 - Dompdf RCE

Dompdf RCE PoC 漏洞利用

图片

ExploitDB

Dompdf 版本 <1.2.1 存在远程代码执行（RCE）漏洞，攻击方式是在数据中注入 CSS。可以诱骗该文件在其字体缓存中存储带有 .php 文件扩展名的恶意字体，之后通过 Web 访问该字体即可执行代码。

用法

git clone https://github.com/rvizx/CVE-2022-28368
cd  CVE-2022-28368
python3 -m pip install -r requirements.txt
python3 dompdf-rce.py --help

致谢与说明

Positive Security - https://positive.security/blog/dompdf-rce