What is CVE-2026-59941?
CVE-2026-59941 affects Dompdf, an HTML-to-PDF converter for PHP, in versions 3.15 and prior. It processes BMP images based solely on declared header dimensions without bounding width×height before GD conversion, leading to potential memory exhaustion and Denial of Service (DoS) via a maliciously crafted small file with large image dimensions. Affected users should upgrade to the latest version or enforce dimension limits on BMP inputs.
Azərbaycanca: CVE-2026-59941, PHP üçün HTML-dən PDF çeviricisi olan Dompdf-də aşkar edilib. 3.15 və əvvəlki versiyalar BMP şəkil faylının başlığında elan edilmiş ölçülərə (məsələn, 6000×6000) əsaslanaraq GD kitabxanası vasitəsilə çevirmə aparır, lakin en və hündürlüyü məhdudlaşdırmır; bu, yaddaş tükənməsi və ya xidmət dayanması (DoS) riski yaradır. Təsirlənən istifadəçilər Dompdf-i ən son versiyaya yeniləməli və ya BMP emalına ölçü məhdudiyyəti tətbiq etməlidir.
Related CVEs
link basis: same weakness class CWE-400
FAQ1
When does CVE-2026-59941 create a DoS risk?
When an attacker uploads a small BMP file with very large dimensions declared in its header (e.g., 6000×6000 pixels), Dompdf processes it without bounding the dimensions before GD conversion, leading to excessive memory usage and Denial of Service (DoS).
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.