RUSTSEC-2026-0200: fulgur HTML/CSS to PDF Denial of Service Vulnerability

RUSTSEC-2026-0200 漏洞概述 漏洞描述：未受限制的页面切片，攻击者控制的 CSS 高度可导致拒绝服务。 CVSS 评分：7.5 CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 发布日期：2026-07-05 影响版本： 修复版本： 影响范围 受影响包： (crates.io) 漏洞类型：Vulnerability 分类：denial-of-service 关键词： , , 别名：GHSA-j5cx-ph8g-95v3 修复方案 修复版本： 修复内容：在 0.19.0 中， 上限限制了切片循环，即使对于 高度也能终止，并且非有限布局高度经过 sanitization，无法再驱动循环。 详细描述 漏洞原理： 将不受信任的 HTML/CSS 转换为 PDF，通常在服务器上处理由多个租户提供的输入。在 0.19.0 之前的版本中，body-direct 子元素的 CSS 解析高度远超页面高度时，页面被无上限地切片为每页一个片段。 攻击向量：攻击者控制的 HTML/CSS（ ， 单位）可触发此漏洞，例如 强制分页。分页代码分配 并运行每页渲染循环，导致 CPU 和内存耗尽。非有限高度（解析为 ）使切片循环的 递减永远不会终止，导致无限循环。 攻击者能力：攻击者能够提交 HTML/CSS 给基于 fulgur 的转换服务，可以触发此漏洞，导致主机和任何 co-tenants 的服务拒绝。 修复措施：在 0.19.0 中， 上限限制了切片循环，即使对于 高度也能终止，并且非有限布局高度经过 sanitization，无法再驱动循环。 攻击向量理由 网络 I/O： 本身不进行网络 I/O；它渲染通过嵌入应用程序提供的 HTML/CSS。 评分依据：此建议对 crate 进行评分，独立于任何特定的采用程序，因此 CVSS v3.1 用户指南 §3.7 的 Attack Vector 被评估为 Network，适用于合理的 worst-case 部署——一个呈现不受信任 HTML 的网络面向服务，无需用户交互。一个具体的系统接收 HTML 并在单独组件中传递它给 fulgur 可能会评估较低的环境 Attack Vector（本地，见 §3.10）。 参考链接 GitHub 安全建议 许可证 建议可在 CC0-1.0 许可证下获取。

目標達成 すべての支援者に感謝 — 100%達成しました！

RUSTSEC-2026-0200: fulgur HTML/CSS to PDF Denial of Service Vulnerability

目標達成すべての支援者に感謝 — 100%達成しました！