pypdf 6.21.4'ten Önce: Sonsuz Döngü DoS Açığı

pypdf kütüphanesinin 6.21.4 sürümünden önceki versiyonlarında ciddi bir Denial of Service (DoS) açığı var. CVE-2026-119205 olarak kayıtlı bu açık, PDF sözlük yapılarını klonlarken ortaya çıkıyor.

Sorun şu: DictionaryObject._clone() metodunun içindeki döngü algılama algoritması, kaynak referansları yerine hedef referansları takip ediyor. Yani bir PDF dosyasında döngüsel (cyclic) referanslar varsa, sistem bunu fark etmiyor ve sonsuz döngüye giriyor. uygulamanın CPU'su %100'e çıkıyor ve program askıda kalıyor.

Bu açıkta CVSS puanı 7.1 (yüksek), ve zaten POC (proof of concept) kodları dolaşıyor. Saldırgan, özel olarak hazırlanmış bir PDF dosyası göndererek hedef sistemi çökertebiliyor. Özellikle PDF işleyen web uygulamaları, belge yönetim sistemleri ve otomasyonlar risk altında.

Eğer sen pypdf kullanıyorsan hemen 6.21.4 veya daha yeni bir sürüme geçmen gerekiyor. Proje bağımlılıklarını kontrol et, pip ile güncelleştir. Eski versiyonlar üretim ortamında çalışıyorsa, bunu yapıştır:

1pip install --upgrade pypdf>=6.21.4

Eğer bir PDF işleme servisi yönetiyorsan, gelen dosyaları kontrol etmek için timeout mekanizması eklemek de iyi bir fikir. Böylece sonsuz döngü başlasa bile sistem sonlandırabilir.