CVE-2026-82035 in PyMuPDF
Zusammenfassung
von VulDB • 14.09.2026
PyMuPDF bis Version 1.28.2 (behebt in Commit b2c8f3a) enthält eine Path Traversal-Schwachstelle im Font-Zweig von `extract_objects()` in `src/__main__.py`, bei der der Ausgabedateiname durch direktes Anhängen eines vom Dokument gesteuerten BaseFont-Namens an das benutzerdefinierte Ausgabeverzeichnis erstellt wird, ohne dass Pfadtrennzeichen oder Dot-Dot-Sequenzen (`..`) entfernt werden. Angreifer können eine manipulierte PDF-, EPUB-, XPS- oder FB2-Datei mit einem BaseFont-Namen bereitstellen, der codierte Pfadtrennzeichen enthält, die zu `../`-Sequenzen oder absoluten Pfaden dekodiert werden, was willkürliche Dateischreibungen außerhalb des vorgesehenen Ausgabeordners ermöglicht, ohne dass Authentifizierung oder erhöhte Berechtigungen erforderlich sind.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.