CVE-2026-107391 in music-metadata
Riassunto
di VulDB • 09/10/2026
music-metadata è un parser di metadati per file multimediali audio e video. Nella revisione di sviluppo pubblica introdotta dopo la versione 11.14.0, una regressione nel branch di sviluppo del parser MP4 stsd sample-description consente a un attaccante di impostare su zero le dimensioni dell'entry controllate dall'attaccante, impedendo l'avanzamento del cursore in StsdAtom.get mentre un entry_count controllato dall'attaccante mantiene attivo il loop sincrono. Un input MP4-family appositamente creato può bloccare il Node.js event loop e far crescere la tabella delle sample-description fino a quando il processo non viene terminato o esaurisce la memoria. La modifica vulnerabile era presente nel branch master pubblico ma non è stata inclusa in music-metadata 11.14.0 né in alcuna release npm precedente, mentre la versione 11.16.0 contiene la correzione. Questo problema è stato risolto nella versione 11.16.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.