Vulnérabilité dans fulgur (CVE-2026-68523)
Résumé
Vulnérabilité dans fulgur (CVE-2026-68523). Risque d'opérations non autorisées ou de divulgation. Exploitable via fulgur. Atténuation : mise à jour vers 0.19.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
fulgur converts untrusted HTML/CSS into PDF, commonly on a server that
processes input supplied by many tenants. In versions prior to 0.19.0, a
body-direct child whose CSS-resolved height greatly exceeds the page height was
sliced into one fragment per page with no upper bound.
The height is taken directly from attacker-controlled HTML/CSS (height, vh
units), so a few bytes such as `` forced on
the order of 125,000 page fragments. The pagination code then allocates
vec![Vec::new(); page_count] and runs a per-page render loop, resulting in CPU
and memory exhaustion. A non-finite height (one that resolves to +inf)
additionally made the slicing loop's remaining -= last_slice_h decrement never
terminate, causing an infinite loop.
An attacker able to submit HTML/CSS to a fulgur-based conversion service can
trigger this with a trivially small payload, denying service to the host and any
co-tenants.
Fixed in 0.19.0: a MAX_PAGES cap bounds the slice loop — halting it even for a
+inf height — and non-finite layout heights are sanitized so they can no
longer drive the loop.
Attack Vector rationale
fulgur performs no network I/O of its own; it renders HTML/CSS handed to it by
the embedding application. This advisory scores the crate independent of any
specific adopting program, so per the CVSS v3.1 User Guide §3.7 the Attack
Vector is assessed as Network for the reasonable worst-case deployment — a
network-facing service that renders untrusted HTML without user…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-68523 a été découverte dans fulgur.
Des attaquants peuvent cibler un point d'entrée spécifique comme fulgur à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : mettez à jour fulgur vers 0.19.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « fulgur CVE-2026-68523 » sur le site de l'éditeur.
CVE-2026-68523 (fulgur) — CWE-400 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : fulgur / height / MAX_PAGES
Correctif : 0.19.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-400) affecte fulgur. Les attaquants atteignent le code vulnérable via fulgur sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de fulgur. Surface d'attaque : fulgur / height / MAX_PAGES.
Gravité : Élevée (CVSS 7.5/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 0.19.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'fulgur' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
fulgurを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade fulgur to 0.19.0ステージング環境で 0.19.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory rustsec.org
- package crates.io
- web github.com
- web github.com
- web github.com