pypdf'de Bellek Tüketen Güvenlik Açığı: CVE-2026-119204

pypdf kütüphanesinde keşfedilen CVE-2026-119204, PDF dosyalarını işlerken ciddi bir bellek sorunu yaratıyor. Sorun, bir PDF'nin sayfa ağacını (page tree) düzleştirirken ortaya çıkıyor.

Hackerler, özel olarak tasarlanmış küçük bir PDF dosyası göndererek milyonlarca sözlük girdisinin kopyalanmasını tetikleyebiliyor. Bu girdiler, pypdf tarafından her bir sayfa nesnesine ayrı ayrı kopyalanıyor ve hiçbir genel bütçe kontrolü yapılmıyor. Sonuç: işletim sistemi belleği bitiriyor ve program çöküyor (Out-Of-Memory).

Teknik olarak bakarsak, PDF'lerde paylaşılan /Pages ve /Page düğümleri hiyerarşik bir yapı oluşturabiliyor. Saldırgan bunu istismar ederek, basit bir dosyada binlerce kez tekrarlanan kaynak tanımları ekleyebiliyor. pypdf her sayfa nesnesine bu kaynakları kopyalarken, bellek kullanımı kontrol edilmediği için patlama meydana geliyor.

Etkilenen sürüm 6.21.4'ten önceki tüm pypdf versiyonları. Eğer sen bir PDF işleme uygulaması geliştiriyorsan ve pypdf kullanıyorsan, hemen güncelleme yapmalısın. Çünkü bu açık, hiçbir kimlik doğrulaması gerektirmeden tetiklenebiliyor, yani herhangi bir kullanıcı seni hedef alabilir.

Düzeltme, sayfa ağacı düzleştirme işlemi sırasında kopyalanan girdilere bir bütçe koyuyor. Bu sayede, şüpheli PDF'ler erken aşamada durdurulabiliyor. Detaylı analiz için orijinal raporu oku.

Praktik olarak: pypdf kullanan her projeni kontrol et, versiyonu güncelle ve gelen PDF'leri doğrula.