Vulnerabilidad en CMap en pdfminer.six (CVE-2025-70559)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

03/02/2026

Última modificación:

11/02/2026

Descripción

pdfminer.six antes de 20251230 contiene una vulnerabilidad de deserialización insegura en el mecanismo de carga de CMap. La librería utiliza Python pickle para deserializar archivos de caché de CMap sin validación. Un atacante con la capacidad de colocar un archivo pickle malicioso en una ubicación accesible para la aplicación puede desencadenar ejecución de código arbitrario o escalada de privilegios cuando el archivo es cargado por un proceso de confianza. Esto es causado por un parche incompleto para CVE-2025-64512.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vulnerabilidad en CMap en pdfminer.six (CVE-2025-70559)

Descripción

Impacto

Referencias a soluciones, herramientas e información