Zikk090

adm-zip 0.6.0 contains a decompression bomb protection bypass that allows attackers to evade the maxOutputLength guard by targeting the asynchronous getDataAsync() path in methods/inflater.js. Attackers can craft ZIP entries with falsified small declared sizes and high-ratio DEFLATE payloads to exhaust memory in applications reading entries asynchronously.

adm-zip before 0.6.1 contains an inconsistent entry resolution vulnerability that allows attackers to bypass content validation by supplying ZIP archives with duplicate entry names. Attackers can craft archives where getEntry() returns the last duplicate while extractAllTo() writes the first, causing unvalidated bytes to be written to disk.

**Nome do Software Vulnerável e Versões Afetadas** pypdf versões anteriores a 6.16.1 **Description** Um invasor pode criar um arquivo PDF que leva ao consumo excessivo de memória e longos tempos de execução. Isso ocorre ao extrair texto de uma página contendo inúmeros XObjects de formulário reutilizados, onde um formulário invoca um filho múltiplas vezes. Isso cria caminhos de travessia exponenciais dentro do grafo acíclico dirigido (um grafo sem ciclos) dos XObjects, afetando especificamente as funções `PageObject. extract text()` e `PageObject.extract xform text()`. **Recommendations** Atualize para a versão 6.16.1. Como solução temporária, aplique as alterações do PR #3966.