CVE-2026-54071
Təsvir
BabelDOC sənəd tərcüməsi alətidir. Versiya 0.6.3-dən əvvəl, BabelDOC-un babeldoc/pdfminer/cmapdb.py faylındakı daxili PDF parseri, CMapDB._load_data() funksiyası CMap fayllarını yükləyərkən etibarsız pickle məlumatlarını deserializasiya edir. Yol ayırıcıları dekodlaşdırıldıqdan sonra, PDF tərəfindən idarə olunan Encoding və ya CMapName dəyərləri və gömülmüş PostScript usecmap operatorları bu mənbəyə çata bilər, halbuki _normalize_cmap_name() yalnız başlanğıc slash simvolunu silir. Mütləq yollar və ya keçid ardıcıllıqları os.path.join() vasitəsilə etibarlı CMap kataloqlarından çıxa, hücum edən tərəf üçün yazıla bilən .pickle.gz faylını seçə və pickle.loads()-in BabelDOC prosesinin imtiyazları ilə ixtiyari Python kodunu icra etməsinə səbəb ola bilər. Bu problem versiya 0.6.3-də düzəldilmişdir.
Necə düzəltmək olar
- babeldoc0.6.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| babeldocPyPI | v < 0.6.3 | 0.6.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.