CVE-2026-82035 in PyMuPDF
الملخص
بحسب VulDB • 14/09/2026
يحتوي PyMuPDF حتى الإصدار 1.28.2 (المُصلح في الالتزام b2c8f3a) على ثغرة تصفح المسار (Path Traversal) في فرع الخطوط التابع للدالة `extract_objects()` الموجودة في الملف `src/__main__.py`، حيث يتم إنشاء اسم ملف الإخراج عن طريق دمج اسم BaseFont الخاضع لسيطرة المستند مباشرةً مع دليل الإخراج الذي قدمه المستخدم دون إزالة فواصل المسار أو تسلسلات النقاط المزدوجة (`..`). يمكن للمهاجمين تزويد ملفات PDF وEPUB وXPS وFB2 مُعدّة بشكل خبيث، تحتوي أسماء BaseFont الخاصة بها على فواصل مسار مشفرة تُفك تشفيرها إلى تسلسلات `../` أو مسارات مطلقة، مما يؤدي إلى كتابة الملفات في أماكن عشوائية خارج دليل الإخراج المقصود دون الحاجة إلى مصادقة أو امتيازات مرتفعة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.