pdfminer.sixは、元のPDFMinerコミュニティによって保守されているフォークであり、PDFドキュメントから情報を抽出するためのツールです。バージョン20251107より前のpdfminer.sixでは、悪意のあるPDFファイルが提供された場合、悪意のあるpickleファイルから任意のコードが実行される可能性があります。pdfminer.sixの`CMapDB._load_data()`関数は、pickleファイルのデシリアライズに`pickle.loads()`を使用しています。これらのpickleファイルは通常、pdfminer.sixの配布物の一部として`cmap/`ディレクトリに保存されていますが、悪意のあるPDFは、ファイル名が`.pickle.gz`で終わる限り、代替のディレクトリとファイル名を指定することが可能です。PDFが処理される際、悪意のある圧縮されたpickleファイルに含まれたコードが自動的に実行されることがあります。バージョン20251107でこの問題は修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。