CVE-2026-112202

ŚrednieCVSS 6.5

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 21/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Moduł Imager::File::GIF w wersjach przed 1.006 dla Perla pozwala na odczyt poza granicami bufora podczas konsolidacji obrazów GIF z opcją gif_consolidate. Indeksy palety są używane bez sprawdzenia granic tablicy kolorów, co prowadzi do odczytu poza alokacją sterty.

Ocena ryzyka

Atakujący dostarczający spreparowany plik GIF może ujawnić sąsiednią pamięć sterty poprzez zdekodowany obraz lub spowodować awarię procesu.

Rekomendacja

Zaktualizuj Imager::File::GIF do wersji 1.006 lub nowszej oraz unikaj przetwarzania niezaufanych plików GIF z włączoną opcją gif_consolidate.

Inne podatności w Imager::File::GIF

CVE-2026-8454Średnie
W Imager::File::GIF w wersjach do 1.002 dla Perla występuje zapis poza granicami sterty przy spreparowanych wieloklatkowych plikach GIF. Bufor wiersza jest alokowany na szerokość ekranu GIF i ponownie używany, a gałąź pomijania obrazu nie sprawdza szerokości przed zapisem.

Oryginalny opis (angielski, źródło NVD)

Imager::File::GIF versions before 1.006 for Perl allow out-of-bounds reads when consolidating GIF images. With `gif_consolidate => 1`, palette indices from the image are used without checking the colour table's bounds. The i_readgif_low routine reads beyond the heap allocation and copies the bytes into output pixels. The default GIF reader is not affected. The same code ships bundled in the Imager distribution. An attacker supplying a crafted GIF can disclose adjacent heap memory through the decoded output and may crash the process.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS