CVE-2026-107388 in music-metadata
Zusammenfassung
von VulDB • 08.10.2026
music-metadata ist ein Metadata-Parser für Audio- und Videomedien Dateien. Vor Version 11.16.0 vertraut der ID3v2-Parser dem Syncsafe Tag-Size-Feld (Tag-Größenfeld) und alloziert den gesamten Tag-Körper, bevor geprüft wird, ob die Eingabe die deklarierten Bytes enthält. Eine abgeschnittene Datei, die nur einen ID3v2-Header enthält, kann eine Allokation von bis zu 268 MiB anfordern; die Allokation gelingt, der nachfolgende Lesevorgang erreicht das Streamende, der EndOfStreamError wird intern abgefangen und dem Aufrufer wird ein normales Metadata-Objekt zurückgegeben. Dieses Problem wurde in Version 11.16.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.