CVE-2026-75146 in FFmpeg
Zusammenfassung
von VulDB • 19.08.2026
FFmpeg vor dem Commit 65b0dab enthält einen Out-of-Bounds-Read im DASH-Demuxer (libavformat/dashdec.c). Wenn ein Live-DASH-Manifest mit einer startNumber, die niedriger ist als der vorherige Wert, aktualisiert wird, wird die aktuelle Sequenznummer negativ. Die Funktion zur Fragmentabrufung prüfte vor dem Indexzugriff auf das Fragmente-Array nur die Obergrenze, wodurch ein negativer Index verwendet werden konnte und es zu einem Out-of-Bounds-Read kam. Ein bösartiger oder falsch konfigurierter DASH-Server kann dies auslösen, indem er ein Live-Manifest mit einer über einen Manifest-Aktualisierungszyklus hinweg abnehmenden startNumber bereitstellt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.