CVE-2026-120252

ŚrednieCVSS 5.5

Opublikowano: 01/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 01/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Biblioteka imagecodecs w wersjach od 2023.1.23 do 2026.10.10 zawiera przepełnienie bufora na stosie w parserze tabel Huffmana bezstratnego JPEG w funkcji decode_jpegsof3(). Złośliwy plik może spowodować przepełnienie tablic HufVal i HufSz na stosie i zawieszenie procesu wywołującego.

Ocena ryzyka

Atakujący może dostarczyć spreparowany obraz JPEG, powodując awarię procesu przetwarzającego dane. Może to prowadzić do odmowy usługi w aplikacjach przetwarzających niezaufane obrazy.

Rekomendacja

Zaktualizuj bibliotekę imagecodecs do wersji zawierającej poprawkę. Do czasu aktualizacji unikaj przetwarzania niezaufanych plików JPEG w aplikacjach korzystających z tej biblioteki.

Inne podatności w imagecodecs

CVE-2026-120251Średnie
Biblioteka imagecodecs w wersjach od 2026.3.6 do 2026.10.10 zawiera podatność na nieskończoną pętlę w funkcji ccitt_fax4_decode_size(). Atakujący może dostarczyć spreparowany strumień CCITT Group 4 bez znacznika EOFB, co powoduje zawieszenie procesu i pełne zużycie CPU.

Oryginalny opis (angielski, źródło NVD)

imagecodecs 2023.1.23 through 2026.10.10 contains a stack-based buffer overflow vulnerability in the lossless JPEG Define Huffman Table parser in decode_jpegsof3(). Attackers can supply a crafted lossless JPEG whose DHT symbol counts wrap an 8-bit sum, overflowing the 32-entry HufVal and HufSz stack arrays and crashing the calling process.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS