CVE-2026-114610

fpdf2, Python için bir PDF oluşturma kütüphanesidir. 2.5.0 ile 2.8.8 sürümleri arasında, fpdf2'nin SVGObject.build_xref() fonksiyonu, iç içe geçmiş SVG <use> referanslarını GraphicsContext.add_item() fonksiyonuna aktarmaktadır; bu fonksiyonun varsayılan clone=True derin kopya davranışı, FPDF.image() işleme sırasında referans verilen grafik ağacının tamamını kopyalar. Her iç içe geçme düzeyinde tekrarlanan referanslar, bellek içi nesne sayısının ve işlem yükünün üstel olarak artmasına neden olur; bu durum, kullanıcı kontrollü küçük bir SVG dosyasının aşırı CPU ve bellek tüketmesine, MemoryError hatası oluşmasına, PDF oluşturma işlemlerinin başarısız olmasına ve çalışan kapasitesinin azalmasına veya tükenmesine yol açar. Referanslar satır içi olduğu ve herhangi bir harici kaynak, XML varlığı, yerel dosya veya izin verici ağ ayarı gerektirmediği için ResourceAccessPolicy bu sorunu önlemez. Bu sorun 2.8.8 sürümünde düzeltilmiştir.