CVE-2026-82398
Reporte público de vulnerabilidad
BAJA Exploit público detectado CVSS 6.9 / MEDIUM CWE-407GTN Risk Score
Monitoreo
Score calculado con CVSS, EPSS, CISA KEV, evidencia pública de exploit y vector de ataque.
Resumen ejecutivo
Resumen ejecutivo
pypdf es una biblioteca de PDF pura de Python gratuita y de código abierto. Antes de 6.15.0, un atacante podía crear un PDF que provocaba largos tiempos de ejecución cuando la función pypdf/_utils.py read_until_whitespace lee una secuencia que contiene una larga serie de bytes sin espacios en blanco. La función realiza repetidamente una concatenación de bytes inmutables en un bucle de un byte, lo que genera un costo de procesamiento cuadrático para la entrada larga sin espacios en blanco. Este problema se solucionó en la versión 6.15.0. Resumen de riesgo: CVE-2026-82398 presenta CVSS 6.9, severidad MEDIA, EPSS 0.30%, CISA KEV: No, exploit público detectado: Sí. Producto/proveedor asociado: No disponible / No disponible. Se recomienda validar exposición, revisar versiones afectadas, aplicar parche o mitigación disponible y monitorear actividad relacionada.
Indicadores
¿De qué se trata?
pypdf es una biblioteca de PDF pura de Python gratuita y de código abierto. Antes de 6.15.0, un atacante podía crear un PDF que provocaba largos tiempos de ejecución cuando la función pypdf/_utils.py read_until_whitespace lee una secuencia que contiene una larga serie de bytes sin espacios en blanco. La función realiza repetidamente una concatenación de bytes inmutables en un bucle de un byte, lo que genera un costo de procesamiento cuadrático para la entrada larga sin espacios en blanco. Este problema se solucionó en la versión 6.15.0.
Ver descripción original en inglés
pypdf is a free and open-source pure-python PDF library. Prior to 6.15.0, an attacker can craft a PDF that causes long runtimes when the pypdf/_utils.py function read_until_whitespace reads a stream containing a long run of bytes without whitespace. The function repeatedly performs immutable bytes concatenation in a one-byte loop, causing quadratic processing cost for the long non-whitespace input. This issue is fixed in version 6.15.0.
Producto / proveedor
Fechas
Estado de explotación
Evidencia encontrada
| Fuente | Estado | Detalle | Confianza |
|---|---|---|---|
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
| NVD References | Referencia sospechosa/PoC | NVD contiene una referencia relacionada con PoC, exploit o repositorio público. | Media |
Nota: esta sección es referencial y defensiva. La ausencia de evidencia pública no garantiza que no exista explotación privada o no publicada.
¿Cómo superarlo / mitigarlo?
- Mantener monitoreo. La probabilidad actual de explotación es baja según EPSS.
- Vector de red: revisar exposición pública, reglas de firewall, WAF/VPN y segmentación.