CVE-2026-59936
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W bibliotece pypdf przed wersją 6.14.1 wykryto podatność polegającą na nieskończonej pętli podczas przetwarzania obrazów wbudowanych w strumieniu treści strony PDF. Atakujący może stworzyć specjalnie spreparowany plik PDF z nieprawidłowo zakończonym obrazem wbudowanym, co prowadzi do zawieszenia procesu ekstrakcji tekstu.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS (Denial of Service) na aplikacje wykorzystujące bibliotekę pypdf do przetwarzania plików PDF, co może skutkować niedostępnością usługi lub przeciążeniem zasobów systemowych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę pypdf do wersji 6.14.1 lub nowszej, która zawiera poprawkę eliminującą podatność na nieskończoną pętlę.
Inne podatności w pypdf
Zobacz wszystkie- CVE-2026-71870Średnie
pypdf przed wersją 6.15.0 jest podatny na nadmierne zużycie pamięci podczas przetwarzania specjalnie spreparowanych plików PDF, gdy funkcja parse_bfrange w pliku pypdf/_cmap.py parsuje niezwykle duże tokeny w mapie /ToUnicode CMap podczas ekstrakcji tekstu. Problem został naprawiony w wersji 6.15.0.
- CVE-2026-71852Średnie
Podatność w bibliotece pypdf przed wersją 6.15.0 pozwala na długotrwałe działanie i duże zużycie pamięci podczas ekstrakcji tekstu z odpowiednio spreparowanego pliku PDF. Funkcja Font._collect_cid_character_widths rozszerza niezwykle duże zakresy szerokości CID lub nadmierną liczbę wpisów szerokości. Problem został naprawiony w wersji 6.15.0.
- CVE-2026-59935Wysokie
Biblioteka pypdf przed wersją 6.14.2 zawiera podatność na atak DoS polegający na nieskończonej pętli podczas parsowania plików PDF. Atakujący może stworzyć specjalnie spreparowany dokument PDF z niezakończonym obrazem inline używającym filtrów ASCII85 lub ASCIIHex, co prowadzi do zawieszenia procesu.
- CVE-2026-59938Średnie
W bibliotece pypdf przed wersją 6.14.0 wykryto podatność polegającą na możliwości stworzenia pliku PDF z zawyżonymi deklarowanymi rozmiarami obrazów, co prowadzi do nadmiernego zużycia pamięci podczas parsowania obrazów. Atakujący może wykorzystać ten błąd do wywołania ataku typu odmowa usługi (DoS) poprzez przeciążenie pamięci.
- CVE-2026-59937Wysokie
W bibliotece pypdf przed wersją 6.14.0 wykryto podatność polegającą na możliwości stworzenia przez atakującego pliku PDF z wieloma uszkodzonymi strumieniami odnośników krzyżowych. Powoduje to długotrwałe odtwarzanie uszkodzonych wpisów tabeli odnośników, co prowadzi do nadmiernego obciążenia procesora i wydłużenia czasu przetwarzania.
- CVE-2026-57204Średnie
Biblioteka pypdf przed wersją 6.13.3 zawiera podatność na atak DoS. Specjalnie spreparowany plik PDF może spowodować nadmierne zużycie pamięci, ponieważ stała MAX_DECLARED_STREAM_LENGTH jest czasami ignorowana podczas parsowania strumienia treści bez wartości /Length.
- CVE-2026-54651Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.13.1, atakujący mógł wykorzystać tę podatność do stworzenia pliku PDF, który prowadził do nieskończonej pętli.
- CVE-2026-54531Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.13.0, atakujący mógł wykorzystać tę podatność do stworzenia pliku PDF, który prowadził do nieskończonej pętli.
- CVE-2026-54530Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.13.0, atakujący mógł wykorzystać tę podatność do stworzenia pliku PDF, który prowadził do nieskończonej pętli podczas ekstrakcji tekstu w trybie układu.
- CVE-2026-49461Średnie
pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.12.2, atakujący mógł stworzyć PDF, który prowadził do dużego zużycia pamięci poprzez ekstrakcję tekstu z strony zawierającej obiekt formularza XObject z odniesieniami do samego siebie.
Oryginalny opis (angielski, źródło NVD)
pypdf is a free and open-source pure-python PDF library. Prior to 6.14.1, an attacker can craft a PDF with a page content stream containing a not terminated inline image, causing an infinite loop during inline image end marker detection such as when extracting page text. This issue is fixed in version 6.14.1.