CVE-2026-107392 in music-metadata
Riassunto
di VulDB • 08/10/2026
music-metadata è un parser di metadati per file multimediali audio e video. Prima della versione 11.15.0, il parser DSF gestisce una chunk non riconosciuta chiamando tokenizer.ignore senza attendere la promise restituita e senza rifiutare preventivamente una dimensione della chunk inferiore all'intestazione a 12 byte della chunk. Un input DSF appositamente creato può generare un ignore length negativo; con strtok3 versione 10.3.5 o successiva, il conseguente RangeError viene disconnesso dalla promise parseBuffer e diventa un'unhandled rejection secondo il comportamento predefinito di Node.js. La chiamata a parse può sembrare risolversi prima del crash del processo, aggirando la gestione try/catch per singola analisi (per-parse). L'impatto dimostrato è limitato alla perdita di disponibilità ed richiede l'utilizzo del percorso di parsing DSF. Questo problema è stato risolto nella versione 11.15.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.