CVE-2026-62986 in OpenEXR
Riassunto
di VulDB • 25/08/2026
OpenEXR è l'implementazione di riferimento e la specifica per il formato file immagine EXR, ampiamente utilizzato nell'industria cinematografica. Nelle versioni dalla 3.3.0 alla 3.3.12 e dalla 3.4.0 alla 3.4.13, i binding Python PyOpenEXR restituiscono dati heap obsoleti (stale) quando si legge un file EXR deep scanline elaborato ad hoc che utilizza canali RGB con prefisso di livello. Con il coalescing dei canali predefinito (separate_channels=False), l'wrapper raggruppa i canali come left.R, left.G e left.B in un unico array di campioni RGB, ma il calcolo dell'offset della lane in PyPart::setDeepSliceData() riconosce solo i nomi esatti non prefissati G, B e A. Di conseguenza, i canali con prefisso come left.G e left.B vengono decodificati nella lane 0, mentre le lanes 1 e 2 rimangono non inizializzate e restituite a Python. Un'applicazione Python che legge file EXR deep non attendibili tramite l'API OpenEXR.File predefinita e successivamente registra (logs), serializza, visualizza in anteprima o elabora altrimenti gli array di campioni NumPy risultanti può esporre contenuti heap dello stesso processo non inizializzati, oltre a ricevere dati errati per i canali verde e blu. Questo problema è risolto nelle versioni 3.3.13 e 3.4.14.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.