PT-2021-18202 · Pypi+1 · Pikepdf+1

Eric Therond · Publicado 2021-04-01 · Atualizado 2025-12-12 · CVE-2021-29421

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

pikepdf, versões 1.3.0 a 2.9.2

Descrição:

A vulnerabilidade permite ataques XXE (Entidade Externa XML) durante a análise de entradas de metadados XMP no arquivo models/metadata.py do pacote pikepdf para Python. Isso ocorre devido ao tratamento inadequado de entidades externas XML, podendo levar à exposição de dados ou a outros problemas de segurança.

Recomendações:

Para as versões 1.3.0 a 2.9.2 do pikepdf, atualize para uma versão que contenha uma correção para este problema, a fim de evitar ataques XXE ao analisar entradas de metadados XMP.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

ALT-PU-2021-2030

CVE-2021-29421

GHSA-CCGM-3XW4-H5P8

MGASA-2021-0268

OPENSUSE-SU-2024:11250-1

OPENSUSE-SU-2024:13864-1

PYSEC-2021-34

Produtos afetados

Alt Linux

Pikepdf

Referências · 24

• https://github.com/pikepdf/pikepdf/commit/3f38f73218e5e782fe411ccbb3b44a793c0b343a · Correção
• https://github.com/pikepdf/pikepdf/blob/v2.10.0/docs/release_notes.rst#v2100 · Nota
• https://github.com/pikepdf/pikepdf · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pikepdf/PYSEC-2021-34.yaml · Nota
• https://osv.dev/vulnerability/CVE-2021-29421 · Aviso do Fabricante
• https://github.com/advisories/GHSA-ccgm-3xw4-h5p8 · Nota
• https://security-tracker.debian.org/tracker/CVE-2021-29421 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-29421 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-29421 · Aviso do Fabricante
• https://t.me/cvenotify/12837 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-29421 · Nota de Segurança
• https://t.me/cvenotify/39050 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-ccgm-3xw4-h5p8 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/3QFLBBYGEDNXJ7FS6PIWTVI4T4BUPGEQ · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-34 · Aviso do Fabricante