CVE-2026-114610

Nome do Software Vulnerável e Versões Afetadas fpdf2 versões 2.5.0 até 2.8.7

Description A função SVGObject.build xref() passa referências aninhadas de SVG <use> para GraphicsContext.add item(). Devido ao comportamento de cópia profunda (deep-copy) padrão clone=True durante o processamento de FPDF.image(), a árvore gráfica referenciada completa é copiada. Quando as referências são repetidas em cada nível de aninhamento, a contagem de objetos na memória e o trabalho de processamento crescem exponencialmente. Isso permite que um SVG pequeno controlado pelo usuário consuma CPU e memória excessivas, podendo causar um MemoryError, falha em tarefas de geração de PDF e exaustão da capacidade dos workers. O ResourceAccessPolicy não previne o problema porque as referências são inline e não exigem recursos externos, entidades XML, arquivos locais ou configurações de rede permissivas.

Recommendations Atualize para a versão 2.8.8.