Yüksek CVSS 7.5
CVE-2026-123615: imgproxy: ICO yüklemede bellek hatası (CVE-2026-123615)
imgproxy'nin belirli sürümlerinde, özel hazırlanmış bir ICO dosyası ile sistem çökertilebilir. Saldırganlar bu zafiyeti kullanarak servisi durdurabilir. Hemen en güncel sürüme (4.0.17 ve sonrası) yükseltin.
Türkçe özet yapay zekâ ile üretildi.
Açıklama (NVD)
imgproxy 3.3.0 before 4.0.17 contains an out-of-bounds heap read and write in the ICO loader's BMP header reconstruction (vips_foreign_load_ico_header in vips/icoload.c) when an ICO entry declares a tiny data size, causing unvalidated header fields to be read and written past the allocated buffer. Unauthenticated remote attackers can supply a crafted ICO image to corrupt adjacent heap chunk metadata, triggering a glibc abort that crashes the worker.
Özet bilgiler
- CVSS v3.1
- 7.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - CVSS v4.0
- 8.7
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X - CWE
- CWE-787
- Yama
- Yok / bilinmiyor