CVE-2026-113786 Carga de datos de imagen JPEG no validados en pypdf

Qué es CVE-2026-113786

En pypdf anterior a 6.21.1, un atacante puede crear un PDF con datos de imagen etiquetados con el filtro /DCTDecode que hacen que Pillow seleccione e invoque un analizador de imágenes no previsto al cargar la imagen. Los entornos sin la dependencia opcional Pillow no están afectados. Se corrige en la versión 6.21.1.

Productos y versiones afectadas

• py-pdf pypdf

  • < 6.21.1

Qué hacer

1. Verificá si usás pypdf y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 2.3 BAJA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Pasiva

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Baja

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

pypdf is a free and open-source pure-python PDF library. Prior to 6.21.1, an attacker can craft a PDF containing image data labeled with the /DCTDecode filter that causes Pillow to select and invoke an unintended image parser when the image is loaded. Environments without the optional Pillow dependency are not affected. This issue is fixed in version 6.21.1.

Referencias

• github.com/py-pdf/pypdf/security/advisories/GHSA-5hx5-vpf9-5wcvX_REFSOURCE_CONFIRM
• github.com/py-pdf/pypdf/pull/4222X_REFSOURCE_MISC
• github.com/py-pdf/pypdf/commit/512d8eb94eb04be1d1c90504e6da2dcef8679e07X_REFSOURCE_MISC
• github.com/py-pdf/pypdf/releases/tag/6.21.1X_REFSOURCE_MISC

Historial de la alerta

1. 21 OCT · 13:05VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.