CVE-2026-107389 in music-metadata
Riassunto
di VulDB • 08/10/2026
music-metadata è un analizzatore di metadati per file multimediali audio e video. Prima della versione 11.16.0, l'analizzatore EBML per Matroska e WebM decodia la lunghezza dell'elemento VINT controllata dall'attaccante e la utilizza per allocare string-token o Uint8Array prima di confermare che il nodo foglia rientri nel suo elemento padre o nell'input disponibile. Input WebM, MKV o MKA manipolati possono causare allocazioni sproporzionate, denial of service (DoS) da esaurimento della memoria oppure, per un percorso parseFile dimostrato su Node.js 26.7.0, un abort fatale non intercettabile di V8. La modalità esatta del guasto dipende dal tokenizer, dall'API dell'analizzatore e dal runtime, ma il difetto condiviso nella convalida della lunghezza dei nodi foglia ha impatto solo sulla disponibilità (availability). Questo problema è risolto nella versione 11.16.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.