CVE-2026-82035 in PyMuPDF
Сводка
по VulDB • 14.09.2026
PyMuPDF до версии 1.28.2 (исправлено в коммите b2c8f3a) содержит уязвимость обхода пути (path traversal) в ветке шрифтов функции extract_objects() в файле src/__main__.py, где имя выходного файла формируется путем непосредственного присоединения управляемого документом имени BaseFont к указанному пользователем выходному каталогу без удаления разделителей путей или последовательностей dot-dot (../). Злоумышленники могут предоставить специально созданный файл PDF, EPUB, XPS или FB2 с именем BaseFont, содержащим закодированные разделители путей, которые декодируются в последовательности ../ или абсолютные пути, что приводит к произвольной записи файлов за пределами предполагаемого выходного каталога без необходимости аутентификации или получения повышенных привилегий.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.