pypdf'de Sayfa Etiketi Açığı: DoS Saldırısına Açık Versiyon

pypdf kütüphanesinin 6.21.3 sürümünden önceki versiyonlarında CVE-2026-119206 adlı bir algoritma karmaşıklığı açığı bulunuyor. Sorun, PDF dosyasının sayfa etiketlerini okuduğunda ortaya çıkıyor.

Açığın temelinde şu var: pypdf, her sayfa için PDF kataloğundaki /PageLabels sayı ağacını (number tree) sıfırdan başlayarak taratıyor. Binlerce sayfa ve etiket aralığı olan bir PDF'de bu işlem kare orantılı (O(n²)) zaman alıyor. Yani sayfa sayısı 1000 ise, tarama işlemi yaklaşık 1 milyon kez gerçekleşiyor. Saldırgan, bu özelliği kullanan bir uygulamaya özel hazırlanmış bir PDF göndererek, CPU'yu tamamıyla meşgul edebiliyor ve uygulamanın yanıt vermemesine neden olabiliyor.

CVSS puanı 7.1 olarak belirlenmiş; bu orta-yüksek seviye bir tehdit. Eğer sen pypdf kullanıyorsan, hemen 6.21.3 veya daha yeni bir sürüme güncelle. Güncelleme, sayfa etiketlerini taranırken önbellek (cache) kullanarak bu doğrusal tarama sorununu çözmüş.

PDF işlemeyi yapan herhangi bir web uygulaması ya da masaüstü aracı varsa, bu tür açıkları göz önünde bulundur. Özellikle kullanıcıdan PDF yükleme kabul eden servislerde, gelen dosyaların sayfa sayısını veya etiket karmaşıklığını önceden kontrol etmek iyi bir pratik.