CVE-2026-32829

lz4_flex, LZ4 sıkıştırma/sıkıştırmayı açma işleminin saf Rust uygulamasıdır. 0.11.5 ve altı sürümler ile 0.12.0 sürümünde, geçersiz LZ4 verilerinin sıkıştırmasının açılması; başlatılmamış bellekten veya önceki sıkıştırma açma işlemlerinden hassas bilgilerin sızmasına neden olabilir. Kütüphane, LZ4 "match copy operations" sırasında ofset değerlerini düzgün şekilde doğrulamamakta ve bu durum çıktı tamponunda sınır dışı okumalara (out-of-bounds reads) izin vermektedir. Blok tabanlı API fonksiyonları (`decompress_into`, `decompress_into_with_dict` ve `safe-decode` devre dışı bırakıldığında diğerleri) etkilenirken, tüm frame API'leri etkilenmemiştir. Etki, özel olarak hazırlanmış veya hatalı biçimlendirilmiş LZ4 girdileri aracılığıyla hassas verilerin ve sırların potansiyel olarak ifşa edilmesidir. Bu sorun 0.11.6 ve 0.12.1 sürümlerinde düzeltilmiştir.