CVE-2026-68515 in OpenEXR
الملخص
بحسب VulDB • 25/08/2026
OpenEXR هو التنفيذ المرجعي والمواصفة الخاصة بتنسيق الصور EXR، والذي يُستخدم على نطاق واسع في صناعة الأفلام المتحركة. في الإصدارات السابقة لـ 3.2.11، ومن 3.3.0 إلى 3.3.12، ومن 3.4.0 إلى 3.4.13، يمكن لأداة exrmultiview الكتابة خارج حدود التخصيص على المكدس (heap) عند دمج ملفين EXR صالحين من حيث المسح الضوئي (scanline)، ولكن تم تزويدهما بواسطة مهاجم، بحيث لا يكون نطاق البيانات الموحد (union dataWindow) متوافقاً مع تخطي القنوات في أحد المشاهد. تقوم الأداة بتخصيص تخزين للقنوات المأخوذ منها عينات باستخدام قسمة truncated union_width / xSampling، ثم تقرأ المدخلات المستخرجة من العينات عبر شريحة (Slice) تعتمد على النافذة الموحدة غير المتوافقة، مما يؤدي إلى كتابة خارج حدود الذاكرة على المكدس. آلية الاستغلال هي معالجة عادية لأدوات عامة، مثل تشغيل exrmultiview left A.exr right B.exr out.exr مع مدخلات مُصمَّمة بعناية لكنها صالحة، لذا فإن هذه المشكلة ليست مجرد مسألة متعلقة بواجهة برمجة التطبيقات (API) أو شروط مسبقة من قبل المتصل. تم إصلاح هذه المشكلة في الإصدارات 3.2.11 و3.3.13 و3.4.14.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.