CVE-2024-25885

WysokieCVSS 7.5

Opublikowano: 08/10/2024(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.63%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

W bibliotece xhtml2pdf w wersji 0.2.13 w funkcji getcolor w pliku utils.py wykryto podatność na atak typu ReDoS (Regular expression Denial of Service). Atakujący może dostarczyć spreparowany ciąg znaków, co prowadzi do nadmiernego obciążenia procesora i odmowy usługi.

Ocena ryzyka

Ryzyko polega na możliwości przeprowadzenia ataku DoS na serwer lub aplikację używającą xhtml2pdf, co może skutkować niedostępnością usługi dla użytkowników.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki xhtml2pdf do najnowszej wersji, która zawiera poprawkę dla tej podatności. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji przetwarzających dane wejściowe użytkownika.

Inne podatności w xhtml2pdf

CVE-2026-110642Wysokie
xhtml2pdf w wersjach przed 0.2.19 zawiera podatność na wstrzyknięcie poleceń systemowych w funkcji pisa.startViewer(). Atakujący mogą dostarczyć plik wejściowy, którego nazwa zawiera cudzysłów i metaznaki powłoki, co prowadzi do wykonania poleceń OS podczas używania narzędzia pisa z opcją -s/--start-viewer.

Oryginalny opis (angielski, źródło NVD)

An issue in the getcolor function in utils.py of xhtml2pdf v0.2.13 allows attackers to cause a Regular expression Denial of Service (ReDOS) via supplying a crafted string.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS