CVE-2026-113792: DoS in pypdf per outline ciclici

CVE-2026-113792 è una vulnerabilità di denial of service nella libreria pypdf, un progetto Python gratuito e open-source. Il bug blocca il processo quando elabora un PDF con outline ciclici (riferimenti che puntano a se stessi e creano loop infiniti). Non esegue codice remoto né divulga dati, ma impedisce al servizio di funzionare fino al riavvio. Per aziende che usano pypdf su server per elaborare PDF, il rischio è concreto se accettano file da utenti, email, API o partner.

Il CVSS della vulnerabilità è 6,0 (medium), ma merita attenzione. La patch è stata rilasciata il 21 ottobre 2026 con la versione 6.20.1. Un segnale critico arriva dal 29 ottobre 2026, quando è stato divulgato pubblicamente un repository GitHub con proof-of-concept verificati, confermando che il bug è banale da sfruttare: serve solo un PDF costruito appositamente. I segnali tra descrizione ufficiale e divulgazione pubblica sono coerenti: tutti descrivono un DoS puro senza escalation di privilegi. Questo significa che il vettore di attacco è consolidato e replicabile.

Per i team IT: controllare immediatamente l'inventario per identificare ogni applicazione in produzione che dipende da pypdf. Priorità massima ai sistemi che accettano PDF da utenti, partner o fonti esterne. Aggiornare a versione 6.20.1 o successiva seguendo le procedure di test dell'ambiente. Se non subito possibile, limitare l'accesso ai servizi di parsing PDF o disabilitare outline processing se configurabile. Controllare i log per crash o hang del processo.