CVE-2026-58012
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 — wyżej niż 24% wszystkich znanych CVE
Streszczenie
W bibliotece GLib wykryto podatność polegającą na odczycie poza zakresem bufora w funkcji g_regex_replace. Problem występuje przy użyciu flagi G_REGEX_RAW oraz sekwencji zmiany wielkości liter w zamianach, gdy funkcja string_append przetwarza dopasowane podłańcuchy za pomocą funkcji UTF-8 zakładających poprawne dane wejściowe, nawet gdy ciąg jest traktowany jako surowe bajty. Może to prowadzić do ujawnienia 1-5 bajtów danych oraz do odmowy usługi przy przekroczeniu granicy strony.
Ocena ryzyka
Ryzyko dla organizacji obejmuje potencjalne ujawnienie niewielkiej ilości danych (1-5 bajtów) oraz możliwość przerwania działania usługi (DoS) w przypadku przekroczenia granicy strony przez odczyt poza zakresem.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki GLib do wersji, w której usunięto tę podatność. Należy również unikać używania flagi G_REGEX_RAW z funkcją g_regex_replace, dopóki nie zostanie zastosowana łatka.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in GLib. A buffer over-read can occur in the g_regex_replace function when used with the `G_REGEX_RAW` compile flag and case-change replacement escapes because the string_append function processes matched substrings using UTF-8 functions that assume valid UTF-8 input, even when the string is treated as raw bytes. This vulnerability can cause a minor information disclosure of 1-5 bytes and a denial of service when the buffer over-read crosses a page boundary.