CVE-2026-86515

W vgmstream do wersji r2117 wykryto lukę bezpieczeństwa w funkcji parse_mus w pliku src/meta/mus_acm.c. Manipulacja prowadzi do zużycia zasobów, a atak może być przeprowadzony zdalnie. Poprawka jest identyfikowana jako ae37662ad626254ddd96ad69ac263792d7a92024.

vgmstream do wersji r2117 zawiera lukę typu stack out-of-bounds read w dekoderze G.722.1/Siren14 w pliku g7221_lib.c, którego czytnik bitów uzupełnia dane bez sprawdzenia końca tablicy data_u32. Atakujący mogą dostarczyć spreparowane pliki .s14 lub .sss, które podczas wykrywania formatu wyprowadzają funkcję decode_vector_quantized_mlt_indices() poza bufor stosu, powodując awarię aplikacji.

Wykryto podatność w vgmstream do wersji r2117. Dotyczy funkcji ps_find_padding w pliku src/coding/psx_decoder.c komponentu VAG File Handler. Manipulacja prowadzi do odczytu poza zakresem (out-of-bounds read). Atak może być przeprowadzony zdalnie. Dostępna jest poprawka.

W bibliotece vgmstream do wersji r2117 wykryto podatność w funkcji decode_ms_ima w pliku src/coding/ima_decoder.c (komponent Microsoft IMA Decoder). Manipulacja prowadzi do dzielenia przez zero, a atak może być wykonany zdalnie.

W bibliotece vgmstream do wersji r2117 wykryto słabość w funkcji make_group_random w pliku src/meta/txtp_process.c (komponent TXTP File Handler). Manipulacja powoduje użycie po zwolnieniu (use-after-free), a atak wymaga dostępu lokalnego. Zalecana jest poprawka o identyfikatorze ae37662ad626254ddd96ad69ac263792d7a92024.

W bibliotece vgmstream do wersji r2117 wykryto podatność w funkcjach parse_params/txtp_parse w pliku src/meta/txtp_parser.c (komponent TXTP File Handler). Manipulacja prowadzi do zapisu poza zakresem (out-of-bounds write), a atak może być wykonany zdalnie. Zalecana jest poprawka o identyfikatorze 4669d37a6af94866f6f0628678f9f90d46954e8b.

Wykryto podatność w vgmstream. Dotkniętym elementem jest funkcja init_vgmstream_awb_memory w pliku src/meta/awb.c komponentu parsera AWB. Taka manipulacja prowadzi do dzielenia przez zero. Atak może być wykonany zdalnie. Nazwa poprawki to ae37662ad626254ddd96ad69ac263792d7a92024. Należy zastosować poprawkę, aby rozwiązać ten problem.

W vgmstream do wersji r2117 funkcja vadpcm_read_coefs_be w pliku src/coding/vadpcm_decoder.c (komponent parsera EA SCHl) niepoprawnie przetwarza argument entry/entries, co prowadzi do zapisu poza granicami bufora. Podatność może być wykorzystana zdalnie. Dostępna jest poprawka o nazwie ae37662ad626254ddd96ad69ac263792d7a92024.

Słabość w vgmstream do wersji r2117 dotyczy funkcji sscanf w pliku src/meta/txth.c w komponencie txth-txtp. Manipulacja powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Poprawka nosi nazwę 4669d37a6af94866f6f0628678f9f90d46954e8b.