CVE-2026-85062 in Colord
Zusammenfassung
von VulDB • 03.09.2026
Colord ist ein kleines, aber leistungsstarkes Tool für hochperformante Farbmanipulationen und -umwandlungen. Vor Version 2.9.4 verwenden die synchronen CSS-Farbzeichenfolgen-Matcher in src/colorModels/rgbString.ts, src/colorModels/hslString.ts, src/colorModels/hwbString.ts, src/colorModels/lchString.ts und src/colorModels/cmykString.ts den mehrdeutigen numerischen regulären Ausdruck ([+-]?\d*.?\d+), der es ermöglicht, dieselben Ziffern auf quadratisch viele Arten zwischen überlappenden Quantifizierern zu verteilen, wenn fehlerhafte Eingaben abgelehnt werden. Ein Angreifer, der colord(), getFormat(), isEqual(), mix() oder contrast() mit einer unbegrenzten Farbzeichenfolge versorgen kann – einschließlich über einen Anforderungskörper (Request Body), ein JSON-Feld oder eine hochgeladene Stylesheet-Datei –, kann den Verarbeitungs-Thread durch ein mehr-Kilobyte-Payload blockieren. Die betroffenen Matcher sind parseRgbaString, parseHslaString, parseHwbaString, parseLchaString und parseCmykaString. Dieses Problem wurde in Version 2.9.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.