CVE-2026-119777

WysokieCVSS 7.8

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

W parserze H.266/VVC w gst-plugins-bad GStreamera występuje luka. Podczas przetwarzania złośliwego pliku lub strumienia H.266 przepełnienie liczb całkowitych przy parsowaniu pól profile, tier i level może prowadzić do przepełnienia bufora na stosie.

Ocena ryzyka

Atakujący może spowodować awarię aplikacji, a potencjalnie także wykonać kod w kontekście aplikacji przetwarzającej media. Ryzyko dotyczy systemów przetwarzających niezaufane pliki multimedialne.

Rekomendacja

Zaktualizuj GStreamer i gst-plugins-bad do wersji zawierającej poprawkę oraz unikaj przetwarzania niezaufanych plików H.266.

Inne podatności w GStreamer gst-plugins-bad

CVE-2026-53701Średnie
W GStreamerze w parserze PPS dla H.266/VVC odkryto podatność na zapis poza granicami. W trakcie przetwarzania wieloslice'owego w funkcji gst_h266_parser_parse_picture_partition() pętla nie sprawdza, czy indeks slice'a pozostaje w granicach, co prowadzi do zapisu poza trzy tablice o stałej wielkości.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in GStreamer's gst-plugins-bad H.266/VVC parser. When processing a malformed H.266 media file or stream, an integer overflow while parsing profile, tier, and level fields can lead to a stack-based buffer overflow. An attacker could cause an application to crash and may be able to execute code in the context of the affected application.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS