CVE-2026-68513 in OpenEXR
Zusammenfassung
von VulDB • 25.08.2026
OpenEXR ist die Referenzimplementierung und Spezifikation für das EXR-Bildformat, das in der Filmindustrie weit verbreitet ist. Die Versionen 3.3.0 bis 3.3.12 sowie 3.4.0 bis 3.4.13 enthalten einen Heap-Buffer-Overflow in PyOpenEXR, der durch eine Kollision von Kanalnamen-Schlüsseln zwischen literalen und präfixierten RGB-Kanälen ausgelöst wird. Wenn separate_channels=false ist, ordnet PyOpenEXR jeden physischen Kanalnummern-Namen über channelNameToRGBA() zu und fasst die Ergebnisse in einem gemeinsamen RGB-Array zusammen. Eine speziell angefertigte flache Scanline-EXR-Datei, die sowohl einen literalen Kanal wie „left“ als auch präfixierte Kanäle wie „left.R“, „left.G“ und „left.B“ enthält, führt dazu, dass diese Namen kollidieren; der Wrapper verwendet daher ein zu kleines zweidimensionales NumPy-Array für die zusammengeführten RGB-Slices und schreibt außerhalb des gültigen Bereichs (out of bounds), wenn OpenEXR.File(path) die Pixel decodiert. Dieses Problem wurde in den Versionen 3.3.13 und 3.4.14 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.