Проблема затрагивает компонент RadWordsProcessing, который входит в состав Progress Telerik Document Processing Libraries и отвечает за разбор текстовых документов и работу с полями. Уязвимость ведёт к отказу в обслуживании: обработка специально сформированного файла завершает или подвешивает процесс, внутри которого работает библиотека. Проявляется она при импорте файлов DOCX, DOC, RTF и HTML, при экспорте в PDF и TXT, а также при вычислении полей, включая обновление полей и слияние писем. Затронуты версии линейки до 2026.3.1027.
CVE-2026-118035 и механизм отказа в обслуживании в RadWordsProcessing
Progress подтвердил уязвимость в собственных библиотеках и выпустил исправление, поэтому речь идёт о подтверждённой проблеме, а не о проверке. Идентификатор CVE-2026-118035 назначил сам вендор. Оценка по CVSS 3.1 составляет 7.5 из 10, уровень High. CVSS - это шкала от 0 до 10, по которой описывают свойства уязвимости, а не только её серьёзность.
Уведомление относит проблему к нескольким классам слабостей. Неконтролируемая рекурсия означает, что функция вызывает сама себя и не ограничивает глубину вызовов, пока не исчерпает ресурсы процесса. Неэффективная алгоритмическая сложность означает, что время обработки растёт быстрее объёма входных данных. Среди классов есть и бесконечный цикл, то есть цикл без достижимого выхода. Все механизмы сходятся в одной точке: обработчик документа тратит ресурсы непропорционально входным данным и не доводит работу до конца.
Условия атаки в записи описаны прямо: атака идёт по сети, сложность низкая, привилегии не требуются, участие пользователя не требуется. Значит, атакующему не нужен доступ к системе и не нужно ждать, пока сотрудник откроет файл вручную. Документ при этом должен попасть на обработку в приложение, которое использует библиотеку. Влияние ограничено доступностью: конфиденциальность и целостность не затронуты, то есть данные не читаются и не изменяются.
Последствия укладываются в отказ в обслуживании. Если процесс завершается, сервис, принимавший документы, не отвечает до перезапуска. Если процесс зависает, он остаётся занятым и не берёт новые запросы. Хост-процесс - это процесс, в котором работает приложение с библиотекой; его остановка и есть результат атаки. В обоих случаях страдает доступность сервиса, а не сохранность данных.
Исправление вышло в версии 2026.3.1027. Вендор рекомендует перейти на неё или на более позднюю сборку. В записи CVE исправленная версия не указана, номер приведён в уведомлении вендора. Дистрибутивы доступны лицензиатам в личном кабинете на сайте Progress. Затронутыми запись помечает версии от 0 до 2026.3.1027 не включая.
Сведений об эксплуатации в реальных атаках нет ни в уведомлении, ни в записи CVE. Запись опубликована 28 октября 2026 года; это раскрытие технических деталей, а не подтверждение атак. Обходных мер вендор не называет, в записи они не приведены. Остаются обновление библиотеки и отслеживание новых обновлений уведомления.
Для администратора важна простота условий: ни привилегий, ни действий пользователя не требуется. Последствия ограничены доступностью, но отказ означает простой сервиса до перезапуска. Переход на 2026.3.1027 закрывает проблему, поэтому обновление библиотеки остаётся главным действием.
Ссылки
