CVE-2026-123616

imgproxy od wersji 3.3.0 do 4.0.17 zawiera podatność na odczyt i zapis poza granicami sterty w rekonstrukcji nagłówka BMP loadera ICO (vips_foreign_load_ico_header w vips/icoload.c), gdy wpis ICO deklaruje bardzo mały rozmiar danych, powodując odczyt i zapis niezwalidowanych pól nagłówka poza zaalokowanym buforem. Nieuwierzytelnieni zdalni atakujący mogą dostarczyć spreparowany obraz ICO, aby uszkodzić metadane sąsiednich fragmentów sterty, wywołując przerwanie glibc i awarię procesu roboczego.

W imgproxy od wersji 4.0.0 do 4.0.16 występuje przepełnienie liczb całkowitych w loaderze ICO, które pozwala zdalnym atakującym wywołać przepełnienie bufora sterty poprzez spreparowaną wartość data_size. Atakujący może przesłać spreparowany obraz ICO, w którym data_size powoduje zawinięcie alokacji w vips/icoload.c, uszkadzając pamięć sterty, co prowadzi do awarii procesu lub wykonania kodu.

W imgproxy do wersji 4.0.17 wykryto podatność w funkcji sanitizeElement w pliku processing/svg/svg.go obsługującej SVG. Manipulacja danymi wejściowymi prowadzi do cross site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.