CVE-2026-56711

VLC media player przed wersją 3.0.24 zawiera podatność na przechodzenie poza katalog (path traversal) w ładowarce motywów skins2, która nie waliduje nazw członków w archiwach motywów .vlt. Atakujący mogą tworzyć złośliwe pliki motywów z sekwencjami przechodzenia poza katalog, aby zapisywać dowolne pliki z uprawnieniami użytkownika VLC, co umożliwia wykonanie kodu poprzez wstrzyknięcie skryptów Lua.

Funkcja lavc_CopyPicture w modules/codec/avcodec/video.c w VideoLAN VLC media player do wersji 3.0.7 ma przepełnienie bufora na stercie (heap-based buffer over-read), ponieważ nie waliduje poprawnie szerokości i wysokości.

Niektóre kompilacje odtwarzacza VLC w wersjach 3.0.0–3.0.23 zawierają podatność związaną z bezpieczeństwem pamięci, osiągalną podczas przetwarzania mediów z kontrolowanego przez atakującego źródła sieciowego. Wykorzystanie wymaga interakcji użytkownika i może ujawnić ograniczoną, zależną od układu pamięci ilość danych z procesu VLC. Ekspozycja zależy od konfiguracji kompilacji.

W VLC media player 3.0.11 odkryto podatność w funkcji EbmlTypeDispatcher::send, która umożliwia atakującym wywołanie przepełnienia bufora sterty poprzez specjalnie spreparowany plik .mkv.

W funkcji DecodeBlock w pliku codec/sdl_image.c w VLC media player przed wersją 3.0.9 występuje błąd off-by-one, który pozwala zdalnemu atakującemu spowodować odmowę usługi (uszkodzenie pamięci) poprzez specjalnie spreparowany plik graficzny. Podatność może być związana z produktem SDL_Image.

Podatność typu integer underflow w VLC Media Player w wersjach < 3.0.7 prowadzi do odczytu poza zakresem.

Niedomiar liczby całkowitej w funkcji MP4_EIA608_Convert() w modules/demux/mp4/mp4.c w VideoLAN VLC media player do wersji 3.0.7.1. Zdalny atakujący może spowodować odmowę usługi (przepełnienie bufora na stercie i awarię) lub potencjalnie inny niezdefiniowany wpływ poprzez spreparowany plik .mp4.