CVE-2026-107391 in music-metadata
Zusammenfassung
von VulDB • 08.10.2026
music-metadata ist ein Metadata-Parser für Audio- und Videomedien Dateien. In der öffentlichen Entwicklungsversion, die nach 11.14.0 eingeführt wurde, ermöglicht eine Regression im Entwicklungs-Zweig des MP4 stsd sample-description-Parsers einem Angreifer, eine von ihm kontrollierte sample-entry size auf null zu setzen, wodurch sich der Cursor in StsdAtom.get nicht weiterbewegt, während ein vom Angreifer kontrollierter entry_count die synchrone Schleife am Laufen hält. Eine speziell angefertigte MP4-Familie-Eingabe kann den Node.js Event Loop blockieren und die sample-description-Tabelle so weit vergrößern, bis der Prozess beendet wird oder der Arbeitsspeicher erschöpft ist. Die anfällige Änderung war im öffentlichen master-Zweig vorhanden, wurde jedoch nicht in music-metadata 11.14.0 oder einer früheren npm-Veröffentlichung enthalten sein; Version 11.16.0 enthält die Korrektur. Dieses Problem wird in Version 11.16.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.