CVE-2026-5314
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W bibliotece stb (stb_truetype.h) do wersji 1.26 występuje błąd out-of-bounds read w funkcji stbtt_InitFont_internal podczas przetwarzania plików TTF. Podatność może być wykorzystana zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Może to prowadzić do wycieku danych lub awarii aplikacji przetwarzającej złośliwe pliki TTF, co stanowi ryzyko dla poufności i dostępności.
Rekomendacja
Zaktualizuj bibliotekę stb do wersji zawierającej poprawkę lub unikaj przetwarzania niezaufanych plików TTF do czasu aktualizacji.
Inne podatności w stb
Zobacz wszystkie- CVE-2026-102805Średnie
W bibliotece Nothings stb do wersji 1.16 wykryto podatność w funkcjach stbi_write_png_to_mem, stbi_write_jpg_core i stbi_write_tga_core (plik stb_image_write.h) w komponencie kodowania obrazów. Manipulacja danymi prowadzi do przepełnienia liczb całkowitych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-102804Średnie
W bibliotece Nothings stb do wersji 2c980bb59875b0d32144a71867fbdebb2f77cd20 wykryto podatność w funkcji hexwave_init (plik stb_hexwave.h). Manipulacja argumentami width/oversample prowadzi do przepełnienia liczb całkowitych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-5317Średnie
W bibliotece stb (do wersji 1.22) wykryto lukę w funkcji start_decoder w pliku stb_vorbis.c. Manipulacja danymi prowadzi do zapisu poza granicami bufora (out-of-bounds write). Exploit został publicznie udostępniony i może być wykorzystany do ataków zdalnych.
- CVE-2026-5315Średnie
W bibliotece stb (stb_truetype.h) w wersji do 1.26 wykryto podatność w funkcji stbtt__buf_get8 obsługującej pliki TTF. Manipulacja danymi może doprowadzić do odczytu poza granicami bufora. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-5313Średnie
W bibliotece stb (stb_image.h) do wersji 2.30 funkcja stbi__gif_load_next w komponencie dekodera GIF pozwala na wywołanie odmowy usługi poprzez odpowiednio spreparowane dane. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Nothings stb up to 1.26. Impacted is the function stbtt_InitFont_internal in the library stb_truetype.h of the component TTF File Handler. Performing a manipulation results in out-of-bounds read. Remote exploitation of the attack is possible. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS