CVE-2026-107389

music-metadata audio və video media faylları üçün metadata analizatorudur. 11.16.0 versiyasından əvvəl Matroska və WebM EBML analizatoru hücumçu tərəfindən idarə olunan VINT elementi uzunluğunu dekodlaşdırır və yarpağın valideyninə və ya mövcud girişə uyğun olduğunu təsdiqləmədən öncə onu string-token və ya Uint8Array ayırması üçün istifadə edir. Xüsusi hazırlanmış WebM, MKV və ya MKA girişləri qeyri-mütənasib yaddaş ayrılmasına, yaddaşın dolması səbəbindən xidmətdən imtinaya (DoS) və ya Node.js 26.7.0 üzərində nümayiş etdirilən parseFile yolu üçün tutulmayan V8 kritik xətasına (fatal abort) səbəb ola bilər. Dəqiq uğursuzluq rejimi tokenizatordan, parser API-dən və runtime mühitindən asılıdır, lakin təsirə məruz qalan yarpaq uzunluğunun təsdiqi çatışmazlığı ortaqdır və yalnız əlçatanlığa təsir göstərir. Bu problem 11.16.0 versiyasında düzəldilmişdir.