CVE-2026-5315
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W bibliotece stb (stb_truetype.h) w wersji do 1.26 wykryto podatność w funkcji stbtt__buf_get8 obsługującej pliki TTF. Manipulacja danymi może doprowadzić do odczytu poza granicami bufora. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wywołać odczyt poza granicami bufora, co może skutkować wyciekiem danych lub awarią aplikacji przetwarzającej niezaufane pliki TTF. Publiczna dostępność exploita zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj bibliotekę stb do wersji zawierającej poprawkę lub zastosuj obejście polegające na walidacji plików TTF przed przetwarzaniem. Monitoruj aplikacje używające stb_truetype do renderowania czcionek.
Inne podatności w stb
Zobacz wszystkie- CVE-2026-102805Średnie
W bibliotece Nothings stb do wersji 1.16 wykryto podatność w funkcjach stbi_write_png_to_mem, stbi_write_jpg_core i stbi_write_tga_core (plik stb_image_write.h) w komponencie kodowania obrazów. Manipulacja danymi prowadzi do przepełnienia liczb całkowitych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-102804Średnie
W bibliotece Nothings stb do wersji 2c980bb59875b0d32144a71867fbdebb2f77cd20 wykryto podatność w funkcji hexwave_init (plik stb_hexwave.h). Manipulacja argumentami width/oversample prowadzi do przepełnienia liczb całkowitych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-5317Średnie
W bibliotece stb (do wersji 1.22) wykryto lukę w funkcji start_decoder w pliku stb_vorbis.c. Manipulacja danymi prowadzi do zapisu poza granicami bufora (out-of-bounds write). Exploit został publicznie udostępniony i może być wykorzystany do ataków zdalnych.
- CVE-2026-5314Średnie
W bibliotece stb (stb_truetype.h) do wersji 1.26 występuje błąd out-of-bounds read w funkcji stbtt_InitFont_internal podczas przetwarzania plików TTF. Podatność może być wykorzystana zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-5313Średnie
W bibliotece stb (stb_image.h) do wersji 2.30 funkcja stbi__gif_load_next w komponencie dekodera GIF pozwala na wywołanie odmowy usługi poprzez odpowiednio spreparowane dane. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Nothings stb up to 1.26. The affected element is the function stbtt__buf_get8 in the library stb_truetype.h of the component TTF File Handler. Executing a manipulation can lead to out-of-bounds read. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS