CVE-2026-107389 in music-metadata
Zusammenfassung
von VulDB • 08.10.2026
music-metadata ist ein Metadaten-Parser für Audio- und Videomedien Dateien. Vor Version 11.16.0 decodiert der Matroska- und WebM EBML-Parser eine vom Angreifer gesteuerte VINT-Elementlänge und verwendet diese zur Allokation von String-Tokens oder Uint8Array, bevor bestätigt wird, dass das Blatt (Leaf) innerhalb seiner übergeordneten Struktur oder des verfügbaren Eingabedatenplatzes liegt. Gefälschte WebM-, MKV- oder MKA-Eingaben können zu disproportionalen Allokationen, einem Out-of-Memory-Dienstverweigerungsangriff (DoS) oder, für einen nachgewiesenen parseFile-Pfad unter Node.js 26.7.0, zu einem nicht abfangbaren V8-Fatal-Abort führen. Der genaue Ausfallmodus hängt vom Tokenizer, der Parser-API und der Laufzeitumgebung ab, aber die betroffene Schwachstelle in der Blatt-Längenvalidierung ist gemeinsam und hat ausschließlich eine Verfügbarkeit (Availability) beeinträchtigende Wirkung. Dieses Problem wurde in Version 11.16.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.