CVE-2026-114610

fpdf2 Python üçün PDF yaratma kitabxanasıdır. 2.5.0 versiyasından 2.8.8 versiyasına qədər fpdf2-nin SVGObject.build_xref() funksiyası iç-içə SVG <use> istinadlarını GraphicsContext.add_item() funksiyasına ötürür və bu funksiyanın standart clone=True dərin surət çıxarma davranışı FPDF.image() emalı zamanı istinad edilən tam qrafika ağacını kopyalayır. Hər bir dərəcədə təkrarlanan istinadlar yaddaşdakı obyekt sayının və emal yükünün eksponensial artmasına səbəb olur ki, bu da istifadəçi tərəfindən idarə olunan kiçik bir SVG faylının həddindən artıq CPU və yaddaş istehlak etməsinə, MemoryError xətasının yaranmasına, PDF generasiya tapşırıqlarının uğursuz olmasına və işçi tutumunun azalmasına və ya tükənməsinə yol açır. İstinadlar sətirdaxili olduğu və heç bir xarici resurs, XML entiteti, lokal fayl və ya icazəli şəbəkə parametrləri tələb etmədiyi üçün ResourceAccessPolicy bu problemi önləmir. Bu problem 2.8.8 versiyasında düzəldilib.