pypdf: Posible bucle infinito al alcanzar EOF en la tabla xref estándar
Impacto
Un atacante puede diseñar un archivo PDF que provoque un bucle infinito. Esto requiere un archivo incompleto que termine dentro de la tabla xref.
Parches
Esto ha sido corregido en pypdf==6.20.0..
Soluciones provisionales
Si aún no puede actualizar, considere aplicar los cambios de la PR #4170..
Notas
Esto fue reportado tanto a través del canal seguro como mediante una incidencia pública en #4169..
Qué hacer
Actualice a pypdf==6.20.0. o aplique los cambios de la PR #4170..
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | pypdf | < 6.20.0 | 6.20.0 |
Referencias
- https://github.com/py-pdf/pypdf/security/advisories/GHSA-39mj-jf6j-2qj3
- https://github.com/py-pdf/pypdf/issues/4169
- https://github.com/py-pdf/pypdf/pull/4170
- https://github.com/py-pdf/pypdf/commit/37e1cd681744bac38b159f7e1c614eee8d639c58
- https://github.com/py-pdf/pypdf
- https://github.com/py-pdf/pypdf/releases/tag/6.20.0
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-835- Plataforma
- Python (PyPI)
- Paquete
pypdf- Publicada
- 21.10.2026
- Actualizado
- 21.10.2026 20:27
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-39mj-jf6j-2qj3 - CC BY 4.0
Historial de vulnerabilidades: pypdf
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 55
- Primera → última
- 06.2023 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 10
- Media 42
- Baja 3
Divulgaciones por año
- 2023: 2
- 2024: 0
- 2025: 4
- 2026: 49
-
pypdf: Posible bucle infinito al alcanzar EOF en la tabla xref estándar esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.