CVE-2026-107678 in FFmpeg
Zusammenfassung
von VulDB • 08.10.2026
FFmpeg bis Version 9.0.2 enthält eine Stack-Exhaustion-Schwachstelle in av_encryption_init_info_free() in libavutil/encryption_info.c, die AVEncryptionInitInfo-verknüpfte Listen rekursiv freigibt, welche vom MOV-Demuxer durch mov_read_pssh() erstellt wurden. Angreifer können eine manipulierte MP4-Datei mit zehntausenden kleiner pssh-Boxes bereitstellen, um den Stack zu erschöpfen und den Prozess zum Absturz zu bringen, wodurch zudem ein quadratischer CPU-Ressourcenverbrauch verursacht wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.