CVE-2026-107676 in FFmpeg
Zusammenfassung
von VulDB • 08.10.2026
FFmpeg bis Version 9.0.2 enthält eine Schwachstelle zur Offenlegung nicht initialisierter Speicherdaten in av_dynamic_hdr_plus_to_t35(), die dazu führt, dass bis zu drei Payload-Bytes nicht initialisiert bleiben, wenn tone_mapping_flag den Wert 0 hat. Angreifer können speziell angefertigte Matroska T.35 BlockAdditional- oder HEVC/AV1 SEI-Metadaten bereitstellen, sodass beim Remuxing oder Transcoding aus dem Prozess gespeicherter, geleakter Speicher in Ausgabedateien geschrieben wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.