CVE-2026-5313
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W bibliotece stb (stb_image.h) do wersji 2.30 funkcja stbi__gif_load_next w komponencie dekodera GIF pozwala na wywołanie odmowy usługi poprzez odpowiednio spreparowane dane. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Aplikacje wykorzystujące stb_image.h do przetwarzania plików GIF mogą zostać zdalnie doprowadzone do awarii lub zawieszenia, co wpływa na dostępność usług.
Rekomendacja
Zaktualizuj bibliotekę stb do wersji nowszej niż 2.30 lub wdroż walidację przetwarzanych plików GIF; monitoruj dostępność aplikacji korzystających z tej biblioteki.
Inne podatności w stb
Zobacz wszystkie- CVE-2026-102805Średnie
W bibliotece Nothings stb do wersji 1.16 wykryto podatność w funkcjach stbi_write_png_to_mem, stbi_write_jpg_core i stbi_write_tga_core (plik stb_image_write.h) w komponencie kodowania obrazów. Manipulacja danymi prowadzi do przepełnienia liczb całkowitych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-102804Średnie
W bibliotece Nothings stb do wersji 2c980bb59875b0d32144a71867fbdebb2f77cd20 wykryto podatność w funkcji hexwave_init (plik stb_hexwave.h). Manipulacja argumentami width/oversample prowadzi do przepełnienia liczb całkowitych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-5317Średnie
W bibliotece stb (do wersji 1.22) wykryto lukę w funkcji start_decoder w pliku stb_vorbis.c. Manipulacja danymi prowadzi do zapisu poza granicami bufora (out-of-bounds write). Exploit został publicznie udostępniony i może być wykorzystany do ataków zdalnych.
- CVE-2026-5315Średnie
W bibliotece stb (stb_truetype.h) w wersji do 1.26 wykryto podatność w funkcji stbtt__buf_get8 obsługującej pliki TTF. Manipulacja danymi może doprowadzić do odczytu poza granicami bufora. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-5314Średnie
W bibliotece stb (stb_truetype.h) do wersji 1.26 występuje błąd out-of-bounds read w funkcji stbtt_InitFont_internal podczas przetwarzania plików TTF. Podatność może być wykorzystana zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Nothings stb up to 2.30. This issue affects the function stbi__gif_load_next in the library stb_image.h of the component GIF Decoder. Such manipulation leads to denial of service. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS