Die Schwachstelle betrifft Dompdf, eine Programmbibliothek, die HTML-Inhalte in PDF-Dokumente umwandelt. Beim Verarbeiten von CSS-Anweisungen zum Einbinden eigener Schriftarten (@font-face) prüft Dompdf die im Feld src:url angegebene Ressource nicht ausreichend. Ein Angreifer kann dort statt einer Schriftdatei eine PHP-Datei referenzieren. Übergibt er der Anwendung ein präpariertes HTML-Dokument zur Umwandlung, wird diese Datei abgelegt und anschließend vom Webserver als Skript ausgeführt. Dadurch kann der Angreifer aus der Ferne beliebigen Code auf dem Server ausführen und somit die Anwendung und unter Umständen das gesamte System übernehmen. Gefährdet sind alle Webanwendungen, die Dompdf einsetzen und Benutzern erlauben, HTML- oder CSS-Inhalte für die PDF-Erzeugung bereitzustellen – etwa bei Rechnungs-, Report- oder Dokumentengeneratoren.