Qué es y cómo funciona
La vulnerabilidad CVE-2026-126779 (CWE-73: External Control of File Name or Path) afecta a la librería PHP Spatie Browsershot. Permite a un atacante leer archivos locales del servidor al pasar referencias a rutas del sistema (como /etc/passwd) dentro de elementos HTML (iframe, img, link o script) al método setHtml(). El componente luego resuelve estas rutas como URLs file:// y renderiza el contenido del archivo en el PDF o captura de pantalla generada.
Productos y versiones afectadas
La vulnerabilidad está presente en Spatie Browsershot desde la versión 2.2.0 hasta antes de la versión 5.5.0.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 7.5 (Alta). Sin embargo, el EPSS (Exploit Prediction Scoring System) estima una probabilidad de explotación real en los próximos 30 días de solo 0.4% (percentil 33%), lo que sugiere un riesgo de explotación activa bajo. Además, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada.
Qué hacer
Se recomienda actualizar Spatie Browsershot a la versión 5.5.0 o superior para mitigar esta vulnerabilidad.
| CVE | CVE-2026-126779 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| EPSS | 0.4% en 30 días (percentil 33) |
| CWE | CWE-73 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).