pypdftk: OS-Command-Injection über PDF- und Ausgabepfade

Zusammenfassung

Die Python-Bibliothek pypdftk bis Version 0.5 erstellt in fill_form(), dump_data_fields() und pdftk_cmd_util() Shell-Befehle aus vom Aufrufer gelieferten Dateipfaden. Die Befehle werden mit subprocess.Popen und shell=True ausgeführt. Wenn eine Anwendung benutzerbeeinflusste Werte für pdf_path oder out_file verwendet, kann ein Angreifer Shell-Metazeichen einschleusen und Betriebssystembefehle mit den Rechten des Python-Prozesses ausführen.

Betroffen

• pypdftk Versionen 0 bis 0.5 (revolunet/pypdftk)
• Verwundbare Funktionen: fill_form(), dump_data_fields(), pdftk_cmd_util()
• Eine Ausnutzung erfordert, dass pdf_path oder out_file durch einen Angreifer beeinflusst werden kann

Behoben in

• Unbekannt. Es wurde keine korrigierte Version identifiziert.
• Der im CVE genannte Commit ist keine Korrektur.

Umgehung

• Es ist keine offizielle Workaround-Massnahme veröffentlicht.
• Keine unvertrauenswürdigen Dateinamen oder Pfade an pypdftk übergeben; Eingaben auf feste Verzeichnisse und feste Dateinamen beschränken.
• Den Python-Prozess mit wenigen Rechten oder in einem Container betreiben, um die Auswirkungen einer Befehlsausführung zu begrenzen.
• Wo möglich, das pdftk-Programm direkt aufrufen, wobei die Argumente als Liste ohne Shell übergeben werden.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar ja, technische Auswirkung total.
• EPSS-Wert 0.02348 zum Zeitpunkt des Snapshots.
• Nicht als bekanntermassen ausgenutzt gelistet.
• Kein öffentlicher Proof of Concept in der Recherche gefunden; das Fehlen ist nicht bestätigt.
• Keine bekannte Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Alle Systeme mit pypdftk inventarisieren, inklusive Skripten, Containern, Lockfiles und Manifesten.
• Priorität hoch, wenn pypdftk Uploads oder andere benutzerbeeinflusste Dateinamen oder Pfade verarbeitet; niedrig bis mittel bei rein interner Nutzung mit festen Eingaben.
• Benutzerbeeinflusste Eingaben für pypdftk-Funktionen entfernen oder einschränken.
• Betroffene Workloads mit minimalen Rechten betreiben.
• Auf eine korrigierte Version achten oder pypdftk durch einen direkten, shell-freien pdftk-Aufruf ersetzen.
• Das upstream-Repository regelmässig auf Updates prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• pypdftk GitHub repository github.com
• pypdftk.py at cited commit github.com
• pypdftk issue 56 github.com
• pypdftk pull request 57 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-110636 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:07.