CVE-2025-65875: FPDF: upload arbitrário de arquivo na função AddFont() leva à execução de código

Visão geral

A CVE-2025-65875 descreve uma falha de upload arbitrário de arquivo na função AddFont() do FPDF. Segundo a descrição publicada pelo NVD, um atacante pode executar código arbitrário enviando um arquivo PHP especialmente elaborado. A fraqueza está mapeada para a CWE-434 (Upload Irrestrito de Arquivo com Tipo Perigoso).

Impacto

A descrição publicada indica que a exploração bem-sucedida permite a execução de código arbitrário.
O NVD atribui nota 9.8 (Crítica) no CVSS v3.1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário.
O registro do CNA da MITRE atribui 8.8 no CVSS v3.1, portanto as notas diferem entre as fontes.

Produtos e versões afetados

A descrição menciona o FPDF v1.86 e versões anteriores.
A entrada estruturada de afetados lista a versão 1.8.6 para o produto Fpdf Fpdf. Essas duas formas de indicar versão não coincidem claramente, então a faixa exata afetada deve ser confirmada com o fornecedor ou projeto.
O registro não contém versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Não há evidência confirmada de exploração nas fontes consultadas para esta análise. O registro não traz pontuação EPSS.

Correção e mitigação

Mapeie todas as aplicações que usam o FPDF, incluindo cópias embutidas em outros projetos.
Consulte o repositório do projeto e o site do projeto para versões atuais e orientações dos mantenedores. O registro não lista nenhuma correção.
Enquanto não houver uma versão corrigida verificada, restrinja a funcionalidade de upload, valide tipos de arquivo no servidor, armazene uploads fora da raiz web ou em diretórios onde scripts não podem ser executados, e limite permissões de escrita.
Verifique se algum fluxo de geração de PDF aceita arquivos ou caminhos de fontes fornecidos pelo usuário.

Orientações de detecção

Monitore endpoints de upload e diretórios de armazenamento em busca de arquivos de script inesperados com extensões executáveis.
Revise os logs do servidor web em busca de requisições a arquivos enviados recentemente para diretórios de upload.
Gere alertas quando o processo do servidor web criar novos arquivos em diretórios que deveriam conter apenas conteúdo estático.

Limitações das informações disponíveis

O registro não fornece versão corrigida, uma faixa de versões vulneráveis que concilie a descrição com a entrada de afetados, evidências de exploração ou dados EPSS. O aviso do GitHub referenciado para o tc-lib-pdf-font sob a CVE-2024-56520 refere-se a outro identificador e pacote, e sua relação com esta CVE não está estabelecida no registro. Detalhes do caminho de código vulnerável não constam nas fontes consultadas.

Perguntas frequentes

O que é a CVE-2025-65875?

É uma falha de upload arbitrário de arquivo na função AddFont() do FPDF v1.86 e anteriores que, segundo a descrição do NVD, pode levar à execução de código arbitrário por meio de um arquivo PHP elaborado.

Há exploração ativa conhecida?

O registro indica que a CVE não consta no catálogo KEV da CISA, e não há evidência confirmada de exploração nas fontes consultadas nesta análise.

Existe versão corrigida?

O registro não lista versão corrigida. Consulte as páginas oficiais do projeto FPDF e confirme com os mantenedores antes de presumir que há correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.