CVE-2026-63638

OpenImageIO; VFX / animasyon ile ilgili herhangi bir görüntü dosyası formatındaki görüntü dosyalarını okumak, yazmak ve işlemek için kullanılan bir araç setidir. 3.0.21.0, 3.1.16.0 ve 3.2.0.3-beta1 sürümlerinden önce, özel olarak hazırlanmış bir cineon görüntüsü desteklenmeyen bileşen bit derinliği 26'yı beyan edebilir. cineoninput::open() bunu 32-bit bir imagespec ile eşleştirir ancak libcineon desteklenmeyen derinliği 8 baytlık bir değere eşler; bu nedenle cineoninput::read_native_scanline(), saldırgan tarafından kontrol edilen verilerin piksel başına 4 bayt olan çağırıcı tamponunun ötesine yazılmasına neden olur, bu da bir heap out-of-bounds write ve bellek bozulmasına yol açar. Etkilenen uygulama; ilgili kaynak yolu, fonksiyonlar, durum ve tetikleyiciyi tanımlayan src/cineon.imageio/cineoninput.cpp, CineonInput::open(), CineonInput::read_native_scanline(), ComponentDataSize(), bit derinliği 26 ve ImageSpec ile tanımlanmıştır. Bu sorun 3.0.21.0, 3.1.16.0 ve 3.2.0.3-beta1 sürümlerinde düzeltilmiştir.