CVE-2025-64893
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
DNG SDK w wersjach 1.7.0 i wcześniejszych zawiera lukę typu out-of-bounds read, która może prowadzić do ujawnienia zawartości pamięci lub odmowy usługi aplikacji. Atakujący może wykorzystać tę lukę do ujawnienia poufnych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika — ofiara musi otworzyć złośliwy plik.
Ocena ryzyka
Luka może doprowadzić do wycieku poufnych danych z pamięci procesu lub do zawieszenia aplikacji, co stanowi ryzyko dla poufności i dostępności. Ryzyko jest istotne dla aplikacji przetwarzających niezaufane pliki DNG.
Rekomendacja
Zaktualizuj DNG SDK do wersji nowszej niż 1.7.0, jeśli jest dostępna. Do czasu aktualizacji unikaj otwierania plików DNG z niezaufanych źródeł.
Inne podatności w DNG SDK
Zobacz wszystkie- CVE-2026-34620Średnie
DNG SDK w wersjach 1.7.1 2502 i wcześniejszych jest dotknięty podatnością na zapis poza zakresem, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność do uszkodzenia pamięci, powodując awarię lub brak reakcji aplikacji. Eksploatacja wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.
- CVE-2026-34616Średnie
DNG SDK w wersjach 1.7.1 2502 i wcześniejszych jest dotknięty podatnością na odczyt poza zakresem, co może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji z pamięci. Eksploatacja wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.
- CVE-2026-48389Wysokie
DNG SDK w wersjach 1.7.1 2536 i wcześniejszych jest podatny na przepełnienie bufora na stosie, co może skutkować wykonaniem dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie wymaga interakcji użytkownika – otwarcia złośliwego pliku.
- CVE-2026-48267Średnie
Wersje DNG SDK 1.7.1 2536 i wcześniejsze zawierają podatność na wyłuskanie wskaźnika NULL, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę lukę do spowodowania awarii aplikacji poprzez otwarcie złośliwego pliku przez ofiarę.
- CVE-2026-27281Średnie
DNG SDK w wersjach 1.7.1 2471 i wcześniejszych jest dotknięty podatnością przepełnienia liczby całkowitej lub zawinięcia, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię aplikacji lub jej brak reakcji. Wykorzystanie tego problemu wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.
- CVE-2026-21355Średnie
DNG SDK w wersjach 1.7.1 2410 i wcześniejszych ma podatność na odczyt poza zakresem, co może prowadzić do ujawnienia danych z pamięci. Atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.
- CVE-2026-21354Średnie
DNG SDK w wersjach 1.7.1 2410 i wcześniejszych zawiera podatność przepełnienia liczby całkowitej lub zawinięcia, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię lub zawieszenie aplikacji. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.
- CVE-2025-64894Średnie
DNG SDK w wersjach 1.7.0 i wcześniejszych zawiera podatność typu przepełnienie liczb całkowitych (Integer Overflow/Wraparound), która może prowadzić do odmowy usługi (DoS) aplikacji. Atakujący może wykorzystać ten problem, aby spowodować zawieszenie się lub brak odpowiedzi aplikacji. Eksploatacja wymaga interakcji użytkownika — ofiara musi otworzyć złośliwy plik.
- CVE-2025-64784Wysokie
Wersje DNG SDK 1.7.0 i wcześniejsze są podatne na przepełnienie bufora na stercie, które może prowadzić do ujawnienia pamięci lub odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji z pamięci. Wykorzystanie wymaga interakcji użytkownika — ofiara musi otworzyć złośliwy plik.
- CVE-2025-64783Wysokie
DNG SDK w wersji 1.7.0 i starszych jest podatny na przepełnienie liczb całkowitych (Integer Overflow lub Wraparound), co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie wymaga interakcji użytkownika polegającej na otwarciu złośliwego pliku.
Oryginalny opis (angielski, źródło NVD)
DNG SDK versions 1.7.0 and earlier are affected by an Out-of-bounds Read vulnerability that could lead to memory exposure or application denial of service. An attacker could leverage this vulnerability to disclose sensitive information stored in memory. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS