CVE-2026-114111

Wykryto i naprawiono kilka podatności w zależności libvips, z których dwie mają wysoki poziom dotkliwości w CVSSv4. Wersje sharp przed 0.35.0 przetwarzające niezaufane dane są podatne.

W bibliotece używanej do optymalizacji obrazów w Next.js wykryto podatność związaną z pamięcią, która może prowadzić do zdalnego wykonania kodu (RCE), gdy Next.js działa na systemie Linux z glibc. Problem dotyczy wersji biblioteki sharp starszych niż 0.35.5.

Sharp przed wersją 0.35.0 zawiera wersję libvips dotkniętą wieloma podatnościami (CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591 i CVE-2026-69242) w dekoderach obrazów GIF, TIFF i VIPS. Atakujący mogą dostarczyć spreparowane pliki GIF, TIFF lub VIPS do aplikacji używających sharp do przetwarzania niezaufanych danych wejściowych.

Sharp przed wersją 0.35.4 zawiera podatną zależność libheif, która pozwala atakującym na potencjalne zdalne wykonanie kodu w systemie Linux opartym na glibc poprzez dostarczenie spreparowanych obrazów. Atakujący mogą przesłać złośliwe dane wejściowe AVIF/HEIF do aplikacji przetwarzających niezaufane obrazy za pomocą sharp.

Sharp, pakiet Laravel do zarządzania treścią, w wersjach od 9.0.0 do 9.22.3 nie egzekwuje kontroli dostępu w endpointach create i store funkcji Quick Creation Command. Uwierzytelniony użytkownik Sharp bez uprawnień do tworzenia encji może ominąć autoryzację i tworzyć nowe rekordy dla encji z skonfigurowanym handlerem Quick Creation Command.

Sharp, framework CMS dla Laravela, przed wersją 9.22.0 udostępnia ogólny endpoint do pobierania plików, który autoryzuje dostęp tylko do instancji encji, ale odczytuje docelowy dysk i ścieżkę z parametrów żądania. Uwierzytelniony użytkownik Sharp, który może wyświetlić jeden prawidłowy rekord, może go użyć jako kotwicy autoryzacji do pobrania niepowiązanych obiektów z dysków Laravel Storage.

Sharp to framework do zarządzania treścią zbudowany dla Laravela jako pakiet. Przed wersją 9.11.1 odkryto podatność Cross-Site Scripting (XSS) w code16/sharp podczas renderowania treści za pomocą komponentu SharpShowTextField. W podatnych wersjach wyrażenia owinięte w {{ & }} były ewaluowane przez Vue, co pozwalało atakującym wstrzyknąć dowolny JavaScript lub HTML wykonujący się w przeglądarce podczas wyświetlania pola. Problem został naprawiony w wersji 9.11.1.