CVE-2019-13602
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 81 - wyżej niż 81% wszystkich znanych CVE
Streszczenie
Niedomiar liczby całkowitej w funkcji MP4_EIA608_Convert() w modules/demux/mp4/mp4.c w VideoLAN VLC media player do wersji 3.0.7.1. Zdalny atakujący może spowodować odmowę usługi (przepełnienie bufora na stercie i awarię) lub potencjalnie inny niezdefiniowany wpływ poprzez spreparowany plik .mp4.
Ocena ryzyka
Atakujący może dostarczyć złośliwy plik MP4, który po otwarciu w VLC spowoduje awarię lub potencjalnie inne skutki. Może to prowadzić do niedostępności usługi lub dalszego wykorzystania podatności.
Rekomendacja
Zaktualizuj VLC media player do wersji nowszej niż 3.0.7.1. Unikaj otwierania plików MP4 z niezaufanych źródeł.
Inne podatności w VLC media player
Zobacz wszystkie- CVE-2026-102875Wysokie
VLC media player przed wersją 3.0.24 zawiera podatność na przechodzenie poza katalog (path traversal) w ładowarce motywów skins2, która nie waliduje nazw członków w archiwach motywów .vlt. Atakujący mogą tworzyć złośliwe pliki motywów z sekwencjami przechodzenia poza katalog, aby zapisywać dowolne pliki z uprawnieniami użytkownika VLC, co umożliwia wykonanie kodu poprzez wstrzyknięcie skryptów Lua.
- CVE-2019-13962Krytyczne
Funkcja lavc_CopyPicture w modules/codec/avcodec/video.c w VideoLAN VLC media player do wersji 3.0.7 ma przepełnienie bufora na stercie (heap-based buffer over-read), ponieważ nie waliduje poprawnie szerokości i wysokości.
- CVE-2026-73324Średnie
Niektóre kompilacje odtwarzacza VLC w wersjach 3.0.0–3.0.23 zawierają podatność związaną z bezpieczeństwem pamięci, osiągalną podczas przetwarzania mediów z kontrolowanego przez atakującego źródła sieciowego. Wykorzystanie wymaga interakcji użytkownika i może ujawnić ograniczoną, zależną od układu pamięci ilość danych z procesu VLC. Ekspozycja zależy od konfiguracji kompilacji.
- CVE-2026-56711Wysokie
VLC media player w wersjach od 3.0.0 do 3.0.23 zawiera podatność typu memory-safety, którą można wykorzystać podczas przetwarzania spreparowanych plików multimedialnych. Eksploatacja wymaga interakcji użytkownika i może doprowadzić do zakończenia działania aplikacji lub wykonania kodu z uprawnieniami procesu VLC.
- CVE-2020-26664Wysokie
W VLC media player 3.0.11 odkryto podatność w funkcji EbmlTypeDispatcher::send, która umożliwia atakującym wywołanie przepełnienia bufora sterty poprzez specjalnie spreparowany plik .mkv.
- CVE-2019-19721Wysokie
W funkcji DecodeBlock w pliku codec/sdl_image.c w VLC media player przed wersją 3.0.9 występuje błąd off-by-one, który pozwala zdalnemu atakującemu spowodować odmowę usługi (uszkodzenie pamięci) poprzez specjalnie spreparowany plik graficzny. Podatność może być związana z produktem SDL_Image.
- CVE-2019-5459Wysokie
Podatność typu integer underflow w VLC Media Player w wersjach < 3.0.7 prowadzi do odczytu poza zakresem.
Oryginalny opis (angielski, źródło NVD)
An Integer Underflow in MP4_EIA608_Convert() in modules/demux/mp4/mp4.c in VideoLAN VLC media player through 3.0.7.1 allows remote attackers to cause a denial of service (heap-based buffer overflow and crash) or possibly have unspecified other impact via a crafted .mp4 file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS