CVE-2026-70632 in FFmpeg
Resumen
por VulDB • 2026-08-07
Las versiones de FFmpeg desde la 4.4 hasta (sin incluir) la 9.0 contienen una vulnerabilidad de escritura fuera de límites en el heap del decodificador nativo GoPro CineForm HD (CFHD), que permite a atacantes remotos corromper la memoria heap al proporcionar un archivo AVI manipulado durante la fase de detección de flujos. La función cfhd_decode() no aplica correctamente la invariante del ancho lógico de salida no Bayer en el camino de reconstrucción transform-type-2, lo que provoca que horiz_filter_clip() escriba filas de muestras de 16 bits desbordadas mucho más allá del búfer de fotograma de salida asignado. Esto puede escalarse a ejecución arbitraria de código mediante la sobrescritura de un puntero vivo de función de limpieza (cleanup callback).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.