FICHE CVE

CVE-2026-54080

Publiée le 2026-07-29 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les systèmes utilisant l'analyseur PDF veraPDF sont vulnérables à une attaque par déni de service. Un attaquant peut faire planter le validateur ou épuiser ses ressources CPU et mémoire en fournissant un fichier PDF spécialement conçu contenant des flux de polices malveillants. Cette attaque est facile à exécuter à distance et ne nécessite ni authentification ni interaction de l'utilisateur, si ce n'est le traitement du fichier malveillant par le système.

CVSS 4.06.9 MOYENNE

Type de faiblesse

CWE-1325

Publiée2026-07-29

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

veraPDF PDF parser is a PDF parser for veraPDF. Prior to 1.30.2 and 1.31.23, veraPDF-parser contains a denial-of-service vulnerability in veraPDF-parser/src/main/java/org/verapdf/pd/font/cmap/CMapParser.java and veraPDF-parser/src/main/java/org/verapdf/parser/postscript/PSOperator.java, where a crafted Type 0 font /Encoding or /ToUnicode CMap stream can execute unbounded PostScript array allocation or a zero-increment for loop and exhaust validator memory or CPU. This issue is fixed in versions 1.30.2 and 1.31.23.