CVE-2026-54081
Publiée le 2026-07-29 · Dernière modification le 2026-10-23
Les systèmes utilisant des versions de veraPDF antérieures à 1.30.2 ou 1.31.23 sont susceptibles de subir une attaque par déni de service. Un attaquant peut provoquer le plantage du validateur ou épuiser sa mémoire et son processeur en fournissant un fichier PDF spécialement conçu contenant des données de police de caractères Type 1 malveillantes. Cela peut être déclenché à distance sans aucune authentification ni interaction de l'utilisateur, à condition que l'attaquant puisse amener le système à analyser son fichier.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
veraPDF PDF parser is a PDF parser for veraPDF. Prior to 1.30.2 and 1.31.23, veraPDF-parser contains a denial-of-service vulnerability in veraPDF-parser/src/main/java/org/verapdf/pd/font/type1/Type1FontProgram.java and veraPDF-parser/src/main/java/org/verapdf/parser/postscript/PSOperator.java, where a crafted Type 1 font /FontDescriptor /FontFile program can execute unbounded PostScript array allocation, a zero-increment for loop, or self-recursive toExecute user dictionary lookups and exhaust validator memory, CPU, or stack. This issue is fixed in versions 1.30.2 and 1.31.23.