CVE-2026-114609

ŚrednieCVSS 5.8

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Biblioteka fpdf2 przed wersją 2.8.8 automatycznie pobiera obrazy z adresów HTTP(S) oraz ścieżek lokalnych podanych przez atakującego, m.in. przez FPDF.image(), FPDF.write_html() oraz pola szablonów. Może to powodować wychodzące żądania do wybranych przez atakującego usług wewnętrznych lub zewnętrznych oraz próby otwarcia plików lokalnych.

Ocena ryzyka

Atakujący może wykorzystać aplikację do skanowania sieci wewnętrznej lub ujawnienia zawartości plików lokalnych, jeśli są one prawidłowymi obrazami lub zasobami SVG. Ryzyko dotyczy głównie aplikacji generujących PDF z niezaufanych danych wejściowych.

Rekomendacja

Zaktualizuj bibliotekę fpdf2 do wersji 2.8.8 lub nowszej. Dodatkowo rozważ ograniczenie dostępu do zasobów sieciowych i lokalnych w kontekście aplikacji generującej PDF.

Inne podatności w fpdf2

CVE-2026-114610Średnie
fpdf2 to biblioteka do tworzenia PDF w Pythonie. Od wersji 2.5.0 do 2.8.8 metoda SVGObject.build_xref() przekazuje zagnieżdżone referencje SVG <use> do GraphicsContext.add_item(), którego domyślne zachowanie clone=True głęboko kopiuje całe drzewo grafiki podczas przetwarzania FPDF.image(). Powtarzanie referencji na każdym poziomie zagnieżdżenia powoduje wykładniczy wzrost liczby obiektów w pamięci i pracy przetwarzania, pozwalając małemu SVG kontrolowanemu przez użytkownika zużyć nadmierne CPU i pamięć, wywołać MemoryError, przerwać zadania generowania PDF i wyczerpać zdolność workerów. ResourceAccessPolicy nie zapobiega problemowi, ponieważ referencje są wbudowane i nie wymagają zewnętrznych zasobów.

Oryginalny opis (angielski, źródło NVD)

fpdf2 is a PDF creation library for Python. Prior to 2.8.8, fpdf2's shared image loader automatically dereferences attacker-controlled HTTP(S) URLs and raw local paths supplied through FPDF.image(), FPDF.write_html() HTML <img src> values, SVG <image href> or xlink:href values, and template image fields. This can cause outbound requests to attacker-selected internal or external services and local file open attempts, although local content is exposed only when it is a valid supported image or SVG resource. file:// URLs are not specially handled, so the local-path case requires a raw filesystem path. This issue is fixed in version 2.8.8.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS