CVE-2026-68523

Fulgur: Unbounded page slicing from attacker-controlled CSS height causes denial of service

CVSS 3.1High

7.5/ 10.0

Опубликовано

17 сентября 2026 г.

Обновлено

21 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.19.0

Обновитесь до Fulgur 0.19.0 (введен лимит MAX_PAGES и валидация нефинитных величин). В качестве workaround: фильтруйте CSS-свойства height и vh для body перед передачей в парсер.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Бесконечная нарезка страниц в Fulgur при рендеринге пользовательских CSS-свойств высоты. Атака приводит к исчерпанию ресурсов CPU и отказу в обслуживании сервиса.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Конвертер HTML в PDF fulgur в версиях до 0.19.0 не ограничивал цикл разбивки элементов на фрагменты страниц. Прямой потомок тега body с аномально большим или нечисловым CSS-значением height (+inf) запускает неограниченную итерацию нарезки.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

DoS конвертера документов. Зависание воркеров и полный отказ многопользовательского бэкенда генерации PDF при обработке одного вредоносного документа.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

fulgur-rsfulgur

все ранние➔Fix: 0.19.0

——

>= 0.0.0-0➔Fix: 0.19.0

——

>= 0➔Fix: 0.19.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

github.comhttps://github.com/fulgur-rs/fulgur/security/advisories/GHSA-j5cx-ph8g-95v3
github.comhttps://github.com/fulgur-rs/fulgur/pull/501
rustsec.orghttps://rustsec.org/advisories/RUSTSEC-2026-0200.html

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-68523: Fulgur: Unbounded page slicing from attacker-controlled CSS height causes denial of service. URL: https://cve.futuretools.ru/cve/CVE-2026-68523

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_68523,
  title = {{CVE-2026-68523: Fulgur: Unbounded page slicing from attacker-controlled CSS height causes denial of service}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-68523}},
  note = {Оперативный инженерный анализ киберугроз}
}