CVE-2026-110636 · CVSS 9.8 · pypdftk through 0.5 contains an OS command injection vulnerability in fill_form(), dump_data_fields(), and pdftk_cmd_util() that builds …

NVD (CVSS crítico) · 14 oct, 17:17

pypdftk hasta versión 0.5 contiene una vulnerabilidad de inyección de comandos OS en las funciones fill_form(), dump_data_fields() y pdftk_cmd_util() que construyen comandos de shell a partir de rutas suministradas por el llamador. Un atacante que controle pdf_path o out_file puede inyectar metacaracteres de shell interpretados por subprocess.Popen con shell=True para ejecutar comandos del sistema operativo.