FICHE CVE

CVE-2026-44348

Publiée le 2026-05-14 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant la bibliothèque PDF PoDoFo (versions 1.0.0 à 1.0.3) sont susceptibles de présenter une erreur de corruption de mémoire lors du traitement des signatures numériques. Un attaquant pourrait potentiellement provoquer le plantage de l'application en incitant un utilisateur à ouvrir un fichier PDF spécialement conçu. Cette attaque est difficile à exécuter, car elle nécessite que la victime interagisse manuellement avec un fichier malveillant et repose sur un état de défaillance spécifique lors du processus de hachage.

CVSS 3.12.5 FAIBLE

Type de faiblesse

Double libération (double free) · CWE-415

Publiée2026-05-14

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

PoDoFo is a C++17 PDF manipulation library. From 1.0.0 to before 1.0.4, a double-free vulnerability exists in compute_hash_to_sign() in src/podofo/private/OpenSSLInternal_Ripped.cpp. If EVP_DigestFinal fails after buf has already been freed, the Error label frees buf a second time, causing heap corruption. This vulnerability is fixed in 1.0.4.