CVE-2026-114610

fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'

CVSS 3.1Medium

6.5/ 10.0

Опубликовано

22 октября 2026 г.

Обновлено

29 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.8.8

Обновите библиотеку fpdf2 до версии 2.8.8 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Экспоненциальное разрастание объектов при обработке вложенных SVG-тегов <use> в библиотеке fpdf2. Приводит к DoS из-за перегрузки CPU и исчерпания RAM.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях 2.5.0–2.8.8 метод SVGObject.build_xref() передает вложенные ссылки <use> в GraphicsContext.add_item(), который по умолчанию применяет clone=True (глубокое копирование) графа графики в FPDF.image(). Политика ResourceAccessPolicy дефект не блокирует, так как ссылки являются встроенными (inline).

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Экспоненциальный рост числа объектов в памяти и нагрузки на CPU, генерация MemoryError, падение задач формирования PDF и исчерпание пула воркеров.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

py-pdffpdf2

>= 2.5.0➔Fix: 2.8.8

——

>= 2.5.0➔Fix: 2.8.8

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

github.comhttps://github.com/py-pdf/fpdf2/security/advisories/GHSA-wqw6-wpr3-45rh
github.comhttps://github.com/py-pdf/fpdf2/pull/1889
github.comhttps://github.com/py-pdf/fpdf2/commit/d7bd1061205d50da6a541dadfdb9d66beb763f2f
github.comhttps://github.com/py-pdf/fpdf2/releases/tag/2.8.8

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-114610: fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'. URL: https://cve.futuretools.ru/cve/CVE-2026-114610

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_114610,
  title = {{CVE-2026-114610: fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114610}},
  note = {Оперативный инженерный анализ киберугроз}
}