CVE-2021-3902: dompdf project dompdf

csirt@kutim:~/threat-intel/cve/CVE-2021-3902

CVSS 9.8 · Critical EPSS 0,95%

Kerentanan Improper Restriction of XML External Entity Reference pada dompdf project dompdf. Skor CVSS 3.1 9.8 (Critical) menurut NVD.

Deskripsi (NVD)

An improper restriction of external entities (XXE) vulnerability in dompdf/dompdf's SVG parser allows for Server-Side Request Forgery (SSRF) and deserialization attacks. This issue affects all versions prior to 2.0.0. The vulnerability can be exploited even if the isRemoteEnabled option is set to false. It allows attackers to perform SSRF, disclose internal image files, and cause PHAR deserialization attacks.

Rincian

Terbit di NVD: 15 November 2024
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 9.8 (Critical), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-611: Improper Restriction of XML External Entity Reference
EPSS (30 hari): 0,95% peluang dieksploitasi; lebih tinggi dari 60,2% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
dompdf project	dompdf	Semua versi sebelum 2.0.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/dompdf/dompdf/commit/f56bc8e40be6c0ae0825e6c7396f4db80620b799 patch
https://huntr.com/bounties/a6071c07-806f-429a-8656-a4742e4191b1 exploit · issue tracking · patch · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.