Vulnerabilidad en Librería PHP knplabs/knp-snappy (CVE-2023-41330)

knplabs/knp-snappy es una librería PHP que permite la generación de thumbnail, snapshots o PDFs desde una URL o una página HTML. ## El problema que reveló la vulnerabilidad CVE-2023-28115 el 17 de marzo, permite a un atacante obtener la ejecución remota de código mediante la deserialización PHAR. La versión 1.4.2 agregó una verificación `if (\strpos($filename, 'phar://') === 0)` en la función `prepareOutput` para resolver este CVE, sin embargo, si el usuario puede controlar el segundo parámetro de la función `generateFromHtml()` de Snappy, luego se pasará como el parámetro `$filename` en la función `prepareOutput()`. En la vulnerabilidad original, un nombre de archivo con un contenedor `phar://` podría enviarse a la función `fileExists()`, equivalente a la función PHP `file_exists()`. Esto permitió a los usuarios activar una deserialización en archivos PHAR arbitrarios. Para solucionar este problema, la cadena ahora se pasa a la función `strpos()` y si comienza con `phar://`, se genera una excepción. Sin embargo, como los contenedores de PHP no distinguen entre mayúsculas y minúsculas, este parche se puede omitir usando `PHAR://` en lugar de `phar://`. Una explotación exitosa de esta vulnerabilidad permite ejecutar código arbitrario y acceder al sistema de archivos subyacente. El atacante debe poder cargar un archivo y el servidor debe ejecutar una versión de PHP anterior a la 8. Este problema se solucionó en el commit `d3b742d61a` que se incluyó en la versión 1.4.3. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar deben asegurarse de que solo los usuarios confiables puedan enviar datos a la función `AbstractGenerator->generate(...)`.