CVE-2026-54633 in PoDoFo
要約
〜によって VulDB • 2026年09月17日
PoDoFoはC++17のPDF操作ライブラリです。バージョン1.0.0から1.1.1まで、インデックス付きカラースペース画像を含む不正なPDFを処理すると、src/podofo/main/PdfColorSpaceFilter.cpp内のPdfColorSpaceFilterIndexed::FetchScanLineでヒープ外読み取り（heap out-of-bounds read）が発生する可能性があります。PODOFO_INVARIANTはランタイムチェックを実行しないため、m_MapSize以上のピクセルインデックスがm_lookupの範囲を超えてアクセスすることがあります。また、PdfColorSpaceFilterFactory::TryCreateFromObjectもhivalに対して誤った論理積と上限制約なしで検証を行うため、想定外の範囲外にある不正なインデックス付きカラースペースメタデータを許可してしまいます。その結果、隣接するヒープデータが漏洩したり、処理アプリケーションがクラッシュしたりする可能性があります。この問題はバージョン1.1.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.