CVE-2025-57109

ŚrednieCVSS 6.5

Opublikowano: 30/10/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Kitware VTK (Visualization Toolkit) 9.5.0 jest podatny na Heap Use-After-Free w funkcji vtkGLTFImporter::ImportActors. Podczas przetwarzania plików GLTF z nieprawidłowymi odwołaniami do węzłów sceny aplikacja uzyskuje dostęp do elementów łańcuchowych obiektów siatki, które zostały wcześniej zwolnione podczas operacji importu aktorów.

Ocena ryzyka

Podatność może prowadzić do awarii aplikacji lub potencjalnie do wykonania dowolnego kodu w kontekście procesu przetwarzającego złośliwy plik GLTF. Ryzyko dotyczy systemów przetwarzających niezaufane pliki GLTF.

Rekomendacja

Zaktualizuj Kitware VTK do wersji zawierającej poprawkę lub unikaj przetwarzania niezaufanych plików GLTF do czasu aktualizacji. Wdróż walidację plików wejściowych.

Inne podatności w Kitware VTK

CVE-2025-57108Krytyczne
Biblioteka Kitware VTK w wersji do 9.5.0 zawiera podatność typu heap use-after-free w module vtkGLTFDocumentLoader. Podatność ujawnia się podczas kopiowania obiektów siatki, gdy elementy wektora są dostępne po zwolnieniu pamięci, szczególnie przy przetwarzaniu plików GLTF z uszkodzoną lub nieprawidłową strukturą referencji siatki.

Oryginalny opis (angielski, źródło NVD)

Kitware VTK (Visualization Toolkit) 9.5.0 is vulnerable to Heap Use-After-Free in vtkGLTFImporter::ImportActors. When processing GLTF files with invalid scene node references, the application accesses string members of mesh objects that have been previously freed during actor import operations.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS