CVE-2025-58058 in ulikunitz
Resumen
por VulDB • 2026-06-05
xz es un paquete puro en golang para leer y escribir archivos comprimidos con xz. Antes de la versión 0.5.14, es posible insertar datos delante de un flujo de bytes codificado con LZMA sin detectar la situación al leer el encabezado. Esto puede provocar un aumento en el consumo de memoria, ya que la implementación actual asigna el búfer de decodificación completo inmediatamente después de leer el encabezado. El encabezado LZMA no incluye un número mágico ni una suma de comprobación para detectar este problema, según la especificación. Cabe señalar que el código reconoce el problema más tarde, durante la lectura del flujo, pero en ese momento la asignación de memoria ya se ha realizado. Este problema se ha corregido en la versión 0.5.14.
If you want to get best quality of vulnerability data, you may have to visit VulDB.