PT-2026-33222 · Artifex · Mupdf Mutool

Niel Duysters · Publicado 2026-04-16 · Atualizado 2026-05-26 · CVE-2026-40505

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Name of the Vulnerable Software and Affected Versions MuPDF mutool (versões afetadas não especificadas)

Description O MuPDF mutool não sanitiza os campos de metadados de PDF antes de escrevê-los na saída do terminal. Isso permite a injeção de sequências de escape ANSI arbitrárias—códigos usados para controlar a formatação do terminal e a posição do cursor—através de metadados de PDF manipulados. Ao executar o comando 'mutool info', esses códigos não sanitizados podem ser usados para limpar a tela do terminal e renderizar texto arbitrário, o que poderia facilitar ataques de engenharia social, como a apresentação de prompts falsos ou comandos forjados.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-150

Identificadores relacionados

CVE-2026-40505

Produtos afetados

Mupdf Mutool

Referências · 14

• https://github.com/ArtifexSoftware/mupdf/commit/0f17d789fe8c29b41e47663be82514aaca3a4dfb · Correção
• https://github.com/ArtifexSoftware/mupdf/releases/tag/1.27.0 · Nota
• https://twitter.com/VulmonFeeds/status/2044648674836283493 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-40505 · Aviso do Fabricante
• https://t.me/cveNotify/164734 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2026-40505 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40505 · Nota de Segurança
• https://vulncheck.com/advisories/mupdf-mutool-ansi-injection-via-metadata · Nota
• https://bugs.ghostscript.com/show_bug.cgi?id=709108 · Nota
• https://twitter.com/CVEnew/status/2045112907395146011 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-40505 · Nota de Segurança
• https://cgit.ghostscript.com/cgi-bin/cgit.cgi/mupdf.git/commit/?id=0f17d789fe8c29b41e47663be82514aaca3a4dfb · Correção
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-40505 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-40505 · Aviso do Fabricante