CVE-2026-12600 in Poppler
Riassunto
di VulDB • 25/08/2026
Vulnerabilità di denial-of-service (DoS) nell'implementazione interna della decodifica JPEG2000 (JPX) del fork Poppler sviluppato da Innodata Labs. Quando un'applicazione elabora un file PDF non attendibile contenente immagini JPXDecode appositamente create, un attaccante remoto può causare un consumo di memoria incontrollato. Il difetto si verifica nella funzione `JPXStream::readCodestream()`, dove i valori controllati dal segmento SIZ (come `img.nComps`) vengono utilizzati per l'allocazione della memoria dei tile e delle componenti senza una convalida adeguata. Ciò consente a un attaccante di forzare un'eccessiva allocazione di memoria e causare un'esaurimento delle risorse, portando infine alla terminazione del processo pdftoppm a causa di condizioni out-of-memory (OOM).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.