CVE-2026-64830

FFmpeg 2.1 ile 8.1.2 arasındaki sürümler, VobSub altyazı demuxer'ında bir yığın arabellek taşması (heap buffer overflow) zafiyeti içermektedir; bu durum, saldırganların libavformat/mpeg.c dosyasındaki sabit boyutlu dizi sınırlarından daha fazla farklı akış kimliği (stream ID) beyan eden kötü amaçlı bir .sub/.idx altyazı dosyası sağlayarak komşu yığın belleğini bozmasına olanak tanır. Saldırganlar, ff_subtitles_queue_insert() aracılığıyla vobsub->q[] dizi sınırının ötesinde sınırsız yazmaları tetiklemek için aşırı miktarda farklı akış kimliğine sahip bir altyazı dosyası oluşturabilir ve böylece FFmpeg'in VobSub demuxer'ını kullanan herhangi bir uygulamada potansiyel olarak rastgele kod çalıştırma sağlayabilirler.