CVE-2026-107387 in Music-Metadata
Riassunto
di VulDB • 09/10/2026
music-metadata è un parser di metadati per file multimediali audio e video. Prima della versione 11.16.0, il parser APEv2 legge la dimensione dell'elemento tag controllata dall'attaccante ed alloca un Uint8Array per l'elemento binario prima di verificare che l'elemento dichiarato rientri nei dati del tag o del file rimanenti. Un piccolo file APE manipolato ad hoc può quindi innescare un'allocazione sproporzionata, anche tramite elementi cover-art, e un parsing ripetuto o concorrente può esaurire la memoria del processo. L'impatto dimostrato è limitato alla perdita di disponibilità (availability). Questo problema è risolto nella versione 11.16.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.