CVE-2026-77652

Dia diyagram düzenleyicisinin WPG dosya formatı içe aktarıcısında yığın tabanlı bir arabellek taşması güvenlik açığı bulunmaktadır. plug-ins/wpg/wpg-import.c dosyasında, WPG içe aktarma işleyicisi sabit boyutlu bir palet ayırır: ren->pPal = g_new0(WPGColorRGB, 256); Bir WPG_COLORMAP kaydı işlenirken ayrıştırıcı dosyadan bir başlangıç indeksi (i16) ve renk sayısını (iNum16) okur ve palet verilerini şu şekilde okur: bRet &= (iNum16 == (int)fread(&ren->pPal[i16], sizeof(WPGColorRGB), iNum16, f)); Sınırlarla ilgili tek kontrol `if (i16 >= 0 && i16 <= iSize)` ifadesidir; burada iSize, palet kapasitesi değil, WPG kayıt boyutudur. i16 değerinin 256'dan küçük olduğu veya i16 + iNum16 toplamının 256'yı aşmadığı doğrulanmamaktadır. Kötü niyetli bir WPG dosyası i16=256 ve iNum16=264 değerlerini sağlayabilir. Bu durum, fread() işlevinin &pPal[256] adresinden başlayarak 792 bayt yazmasına neden olur; oysa palet arabelleği yalnızca 768 bayttır (256 girdi × 3 bayt). Bu taşma, bitişik yığın meta verilerine taşar ve Dia'nın çökmesine (SIGABRT / malloc bozulma hataları) yol açabilir veya yığın düzenine ve sömürü ilkellerine bağlı olarak keyfi kod çalıştırmaya potansiyel olarak yol açabilir. Sömürü, bir kullanıcının Dia'nın dosya iletişim kutusu, komut satırı veya dosya ilişkilendirmesi aracılığıyla hazırlanmış bir WPG dosyasını açmasına ikna edilmesini gerektirir. Dosyayı mağdura iletmek için özel ayrıcalık gerekmez. Etkilenen bileşen: WPG ayrıştırıcısı (plug-ins/wpg/wpg-import.c). Etkilenen sürümler: bu kod yolunu içeren tüm Dia sürümleri (bildiren kişi Dia 0.98+git20260221-1 sürümünü test etmiştir; sorun 2026-08-21 itibarıyla upstream master üzerinde mevcuttur).