pdfme versões pdf-lib antes 5.5.10 contêm uma vulnerabilidade de crescimento de buffer não delimitada no método DecodeStream.ensureBuffer() que permite que os atacantes causem negação de serviço fornecendo um PDF criado com um fluxo FlateDecode contendo uma bomba de descompressão. Os atacantes podem enviar um pequeno PDF comprimido que descomprime para centenas de megabytes, exaustivo de memória e quebrando o processo Node.js ou congelando abas do navegador durante a análise do PDF. Registro de aconselhamento: GHSA- gvgq- 37 w 5 - 4 f 8 q. Identificadores relacionados: CVE- 2026 - 82864.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 31 T 09: 30: 31.000 Z e lista a sua última modificação como 2026 - 08 - 31 T 09: 30: 31.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 409. O registro contém 3 suporte de referências nestes tipos: WEB, AVISO.