CVE-2026-63638

OpenImageIO, VFX / animasiya ilə əlaqəli hər hansı şəkil faylı formatındakı şəkilləri oxumaq, yazmaq və manipulyasiya etmək üçün nəzərdə tutulmuş alətlər dəstidir. 3.0.21.0, 3.1.16.0 və 3.2.0.3-beta1 versiyalarından əvvəl, xüsusi hazırlanmış cineon şəkli dəstəklənməyən 26 bitlik komponent dərinliyini təyin edə bilər. cineoninput::open() funksiyası bunu 32-bitlik imagespec-ə uyğunlaşdırır, lakin libcineon dəstəklənməyən dərinliyi 8 baytlıq dəyərə uyğunlaşdırdığı üçün cineoninput::read_native_scanline() hücumçunun idarə etdiyi məlumatların çağırıcı buferinin piksel başına 4 baytlıq həddindən kənarına yazılmasına səbəb olur ki, bu da heap out-of-bounds write və yaddaşın korlanmasına gətirib çıxarır. Təsirə məruz qalan tətbiq src/cineon.imageio/cineoninput.cpp, CineonInput::open(), CineonInput::read_native_scanline(), ComponentDataSize(), bit depth 26 və ImageSpec vasitəsilə müəyyən edilir ki, bunlar müvafiq mənbə yolunu, funksiyaları, vəziyyəti və tetikləyicini təyin edir. Bu problem 3.0.21.0, 3.1.16.0 və 3.2.0.3-beta1 versiyalarında düzəldilmişdir.