FICHE CVE

CVE-2026-40505

Publiée le 2026-04-16 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les utilisateurs de MuPDF (versions antérieures à 1.27) utilisant la commande `mutool info` pour inspecter des fichiers PDF sont concernés. Un attaquant peut intégrer des codes malveillants dans les métadonnées d'un PDF pour manipuler l'affichage de votre terminal, permettant potentiellement d'usurper des commandes ou de créer de fausses invites afin de vous inciter à effectuer une action. Cela nécessite que vous exécutiez manuellement l'outil sur un fichier spécifiquement conçu par l'attaquant.

CVSS 4.04.8 MOYENNE

Type de faiblesse

CWE-150

Publiée2026-04-16

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

MuPDF before 1.27 contains an ANSI injection vulnerability in mutool that allows attackers to inject arbitrary ANSI escape sequences through crafted PDF metadata fields. Attackers can embed malicious ANSI escape codes in PDF metadata that are passed unsanitized to terminal output when running mutool info, enabling them to manipulate terminal display for social engineering attacks such as presenting fake prompts or spoofed commands.