CVE-2026-90681

NiskieCVSS 3.3

Opublikowano: 14/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

W Matthias-Wandel jhead do wersji 3.3 wykryto słabość w funkcji Get16u w pliku exif.c komponentu EXIF Parsing. Manipulacja powoduje odczyt poza granicami bufora. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.

Ocena ryzyka

Lokalny atakujący może wywołać odczyt poza granicami bufora, co może prowadzić do ujawnienia danych lub awarii aplikacji. Publiczny exploit zwiększa ryzyko wykorzystania.

Rekomendacja

Monitoruj projekt jhead w celu uzyskania poprawki — zgłoszony problem nie został jeszcze rozwiązany. Do czasu wydania poprawki unikaj przetwarzania niezaufanych plików EXIF.

Inne podatności w jhead

CVE-2026-90682Średnie
W Matthias-Wandel jhead do wersji 3.3 wykryto lukę w funkcji ProcessGpsInfo w pliku gpsinfo.c komponentu WebP EXIF Handler. Manipulacja argumentami TAG_GPS_LAT/TAG_GPS_LONG prowadzi do przepełnienia bufora na stercie. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in Matthias-Wandel jhead up to 3.3. This affects the function Get16u of the file exif.c of the component EXIF Parsing. This manipulation causes out-of-bounds read. The attack requires local access. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS