CVE-2026-107389
Açıklama
music-metadata, ses ve video medya dosyaları için bir meta veri ayrıştırıcısıdır. 11.16.0 sürümünden önce, Matroska ve WebM EBML ayrıştırıcısı, saldırgan tarafından kontrol edilen bir VINT öğe uzunluğunu çözer ve yaprağın ebeveynine veya mevcut girdiye sığdığını doğrulamadan önce bunu string-token veya Uint8Array tahsisi için kullanır. Özel olarak hazırlanmış WebM, MKV veya MKA girdileri; orantısız tahsislere, bellek yetersizliği nedeniyle hizmet reddine (DoS) veya Node.js 26.7.0 üzerinde kanıtlanmış bir parseFile yolu için yakalanamayan bir V8 kritik hatasına yol açabilir. Kesin hata modu tokenleştiriciye, parser API'sine ve çalışma zamanına bağlıdır ancak etkilenen yaprak uzunluğu doğrulama kusuru ortaktır ve yalnızca erişilebilirlik üzerinde etkisi vardır. Bu sorun 11.16.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- borewit music-metadata11.16.0 ya da sonraki bir sürüm
- music-metadata11.16.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| borewit music-metadata | v < 11.16.0 | 11.16.0 |
| music-metadatanpm | v < 11.16.0 | 11.16.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.