CVE-2026-54081
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność typu odmowa usługi (DoS) w parserze PDF veraPDF-parser pozwala atakującemu na wyczerpanie pamięci, procesora lub stosu poprzez spreparowany program czcionki Type 1, który wykonuje nieograniczoną alokację tablic PostScript, pętlę z zerowym przyrostem lub rekurencyjne wyszukiwanie w słowniku użytkownika.
Ocena ryzyka
Atakujący może spowodować niedostępność usługi walidacji PDF, co może zakłócić działanie aplikacji zależnych od veraPDF.
Rekomendacja
Zaleca się aktualizację biblioteki veraPDF-parser do wersji 1.30.2 lub 1.31.23.
Inne podatności w veraPDF-parser
Oryginalny opis (angielski, źródło NVD)
veraPDF PDF parser is a PDF parser for veraPDF. Prior to 1.30.2 and 1.31.23, veraPDF-parser contains a denial-of-service vulnerability in veraPDF-parser/src/main/java/org/verapdf/pd/font/type1/Type1FontProgram.java and veraPDF-parser/src/main/java/org/verapdf/parser/postscript/PSOperator.java, where a crafted Type 1 font /FontDescriptor /FontFile program can execute unbounded PostScript array allocation, a zero-increment for loop, or self-recursive toExecute user dictionary lookups and exhaust validator memory, CPU, or stack. This issue is fixed in versions 1.30.2 and 1.31.23.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS