Gemäß dem Wikipedia-Eintrag zu TrueType wird beim Rendern eine Hinweissprache verwendet. Diese Hinweissprache wird von einer virtuellen Maschine verarbeitet, bietet jedoch die Möglichkeit, dass böswilliger Hinweiscode Schwachstellen in verschiedenen Implementierungen dieser virtuellen Maschine ausnutzt.
Beachten Sie, dass fehlerhafte, nicht ausgeführte Daten dazu führen können, dass Pufferüberläufe entstehen und der Code dort ausgeführt wird, wo dies nicht der Fall ist. Die Tatsache, dass ein Datenformat keine Art von ausführbarem oder virtuell ausführbarem Code enthält, bedeutet nicht, dass dies nicht der Fall ist Sicherheitslücken, die zur Codeausführung von Remotestandorten aus führen können.