CVE-2026-107392 in music-metadata
Zusammenfassung
von VulDB • 09.10.2026
music-metadata ist ein Metadaten-Parser für Audio- und Videomedien Dateien. Vor Version 11.15.0 verarbeitet der DSF-Parser einen nicht erkannten Chunk, indem tokenizer.ignore aufgerufen wird, ohne das zurückgegebene Promise abzuwarten (await) und ohne zunächst eine Chunk-Größe abzulehnen, die kleiner als der 12-Byte-Chunk-Header ist. Eine speziell angefertigte DSF-Eingabe kann zu einer negativen ignore-Länge führen; bei strtok3 in Version 10.3.5 oder höher wird der daraus resultierende RangeError vom parseBuffer-Promise getrennt und führt unter dem Standardverhalten von Node.js zu einem unbehandelten Fehler (unhandled rejection). Der Aufruf von parse kann so erscheinen, als würde er vor dem Absturz des Prozesses aufgelöst werden, wodurch die try/catch-Verarbeitung pro Parse-Vorgang umgangen wird. Die nachgewiesene Auswirkung ist ausschließlich ein Verfügbarkeitsverlust und erfordert den DSF-Parsing-Weg. Dieses Problem wurde in Version 11.15.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.