CVE-2026-82035 in PyMuPDF
要約
〜によって VulDB • 2026年09月14日
PyMuPDF 1.28.2（コミット b2c8f3a で修正済み）には、src/__main__.py の extract_objects() 関数のフォントブランチにおいてパストラバーサルの脆弱性が存在します。これは、出力ファイル名が、ドキュメントで制御される BaseFont 名をユーザー入力の出力ディレクトリに直接結合する際に、パス区切り文字や「..」シーケンスの除去が行われないために生じます。攻撃者は、BaseFont 名にエンコードされたパス区切り文字（デコードすると ../ シーケンスまたは絶対パスになる）を含む改ざん済みの PDF、EPUB、XPS、FB2 ファイルを供給することで、認証や特権昇格を必要とせずに、意図した出力ディレクトリ外への任意のファイル書き込みを引き起こすことができます。
Once again VulDB remains the best source for vulnerability data.