CVE-2026-113786
Publiée le 2026-10-21 · Dernière modification le 2026-10-27
Les versions de pypdf antérieures à 6.21.1 sont concernées, à condition que la bibliothèque optionnelle Pillow soit également installée. Cette bibliothèque est utilisée pour lire et manipuler des fichiers PDF au sein d'applications Python. La faille survient lorsqu'un PDF contient des données d'image marquées avec un filtre spécifique, ce qui induit Pillow en erreur et le pousse à utiliser le mauvais analyseur d'image lors du chargement du fichier.
Un attaquant peut déclencher un déni de service, provoquant le plantage de l'application ou rendant celle-ci indisponible. Cela nécessite que l'attaquant convainque un utilisateur d'ouvrir un fichier PDF spécialement conçu, ce qui signifie qu'une interaction de l'utilisateur est nécessaire. Comme cela ne compromet ni la confidentialité ni l'intégrité des données, le risque global est considéré comme faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
pypdf is a free and open-source pure-python PDF library. Prior to 6.21.1, an attacker can craft a PDF containing image data labeled with the /DCTDecode filter that causes Pillow to select and invoke an unintended image parser when the image is loaded. Environments without the optional Pillow dependency are not affected. This issue is fixed in version 6.21.1.