CVE-2026-59935
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Biblioteka pypdf przed wersją 6.14.2 zawiera podatność na atak DoS polegający na nieskończonej pętli podczas parsowania plików PDF. Atakujący może stworzyć specjalnie spreparowany dokument PDF z niezakończonym obrazem inline używającym filtrów ASCII85 lub ASCIIHex, co prowadzi do zawieszenia procesu.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu Denial of Service (DoS) na aplikacje korzystające z pypdf do przetwarzania plików PDF. Atakujący może wysłać złośliwy dokument PDF, który zablokuje działanie serwisu lub aplikacji.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę pypdf do wersji 6.14.2 lub nowszej. W przypadku braku możliwości aktualizacji, zaleca się wdrożenie walidacji plików PDF przed ich przetwarzaniem przez pypdf.
Inne podatności w pypdf
Zobacz wszystkie- CVE-2026-71870Średnie
pypdf przed wersją 6.15.0 jest podatny na nadmierne zużycie pamięci podczas przetwarzania specjalnie spreparowanych plików PDF, gdy funkcja parse_bfrange w pliku pypdf/_cmap.py parsuje niezwykle duże tokeny w mapie /ToUnicode CMap podczas ekstrakcji tekstu. Problem został naprawiony w wersji 6.15.0.
- CVE-2026-71852Średnie
Podatność w bibliotece pypdf przed wersją 6.15.0 pozwala na długotrwałe działanie i duże zużycie pamięci podczas ekstrakcji tekstu z odpowiednio spreparowanego pliku PDF. Funkcja Font._collect_cid_character_widths rozszerza niezwykle duże zakresy szerokości CID lub nadmierną liczbę wpisów szerokości. Problem został naprawiony w wersji 6.15.0.
- CVE-2026-59936Wysokie
W bibliotece pypdf przed wersją 6.14.1 wykryto podatność polegającą na nieskończonej pętli podczas przetwarzania obrazów wbudowanych w strumieniu treści strony PDF. Atakujący może stworzyć specjalnie spreparowany plik PDF z nieprawidłowo zakończonym obrazem wbudowanym, co prowadzi do zawieszenia procesu ekstrakcji tekstu.
- CVE-2026-59938Średnie
W bibliotece pypdf przed wersją 6.14.0 wykryto podatność polegającą na możliwości stworzenia pliku PDF z zawyżonymi deklarowanymi rozmiarami obrazów, co prowadzi do nadmiernego zużycia pamięci podczas parsowania obrazów. Atakujący może wykorzystać ten błąd do wywołania ataku typu odmowa usługi (DoS) poprzez przeciążenie pamięci.
- CVE-2026-59937Wysokie
W bibliotece pypdf przed wersją 6.14.0 wykryto podatność polegającą na możliwości stworzenia przez atakującego pliku PDF z wieloma uszkodzonymi strumieniami odnośników krzyżowych. Powoduje to długotrwałe odtwarzanie uszkodzonych wpisów tabeli odnośników, co prowadzi do nadmiernego obciążenia procesora i wydłużenia czasu przetwarzania.
- CVE-2026-57204Średnie
Biblioteka pypdf przed wersją 6.13.3 zawiera podatność na atak DoS. Specjalnie spreparowany plik PDF może spowodować nadmierne zużycie pamięci, ponieważ stała MAX_DECLARED_STREAM_LENGTH jest czasami ignorowana podczas parsowania strumienia treści bez wartości /Length.
- CVE-2026-54651Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.13.1, atakujący mógł wykorzystać tę podatność do stworzenia pliku PDF, który prowadził do nieskończonej pętli.
- CVE-2026-54531Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.13.0, atakujący mógł wykorzystać tę podatność do stworzenia pliku PDF, który prowadził do nieskończonej pętli.
- CVE-2026-54530Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.13.0, atakujący mógł wykorzystać tę podatność do stworzenia pliku PDF, który prowadził do nieskończonej pętli podczas ekstrakcji tekstu w trybie układu.
- CVE-2026-49461Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.12.2, atakujący mógł stworzyć PDF, który prowadził do dużego zużycia pamięci poprzez ekstrakcję tekstu z strony zawierającej obiekt formularza XObject z odniesieniami do samego siebie.
Oryginalny opis (angielski, źródło NVD)
pypdf is a free and open-source pure-python PDF library. Prior to 6.14.2, an attacker can craft a PDF with a page content stream containing a not terminated inline image that uses the ASCII85 or ASCIIHex filters, causing an infinite loop during parsing such as when extracting page text. This issue is fixed in version 6.14.2.