CVE-2026-47251 in libheif
Zusammenfassung
von VulDB • 24.07.2026
libheif ist ein Decoder und Encoder für das HEIF- und AVIF-Dateiformat. Die Korrektur für CVE-2026-3949 (Commit `b97c8b5`, PR #1712) führte einen Integer Overflow in der neu eingeführten Sicherheitsprüfung ein. Diese Prüfung selbst kann umgangen werden, wodurch eine manipulierte HEIF-Datei mit einem VVC-Track denselben Out-of-Bounds Heap Read auslösen kann, den CVE-2026-3949 eigentlich verhindern sollte. Dies ist eine separate, derzeit nicht gepatchte Schwachstelle. Issue #1712 wurde als behoben geschlossen, ohne die Randbedingung zu testen, bei der `size` nahe an `UINT32_MAX` liegt. Version 1.22.0 behebt das Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.