CVE-2026-15185
NiskieCVSS 3.3Streszczenie
W GPAC 26.03-DEV odkryto podatność w funkcji vobsub_read_idx pliku /src/media_tools/vobsub.c komponentu MP4Box. Manipulacja argumentem num_langs może prowadzić do odczytu poza dozwolonym zakresem pamięci. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.
Ocena ryzyka
Ryzyko polega na możliwości lokalnego odczytu danych poza przydzielonym buforem, co może prowadzić do ujawnienia wrażliwych informacji lub destabilizacji systemu. Publicznie dostępny exploit zwiększa prawdopodobieństwo wykorzystania podatności.
Rekomendacja
Zaleca się natychmiastowe zastosowanie łatki oznaczonej jako 532097084729a936bcdf6a27c41003f3bd7dc3ff lub nowszej wersji GPAC. Należy również ograniczyć dostęp lokalny do systemu tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in GPAC 26.03-DEV. This affects the function vobsub_read_idx of the file /src/media_tools/vobsub.c of the component MP4Box. Executing a manipulation of the argument num_langs can lead to out-of-bounds read. The attack needs to be launched locally. The exploit has been publicly disclosed and may be utilized. This patch is called 532097084729a936bcdf6a27c41003f3bd7dc3ff. It is best practice to apply a patch to resolve this issue. Two different commits were applied to fix this issue.