CVE-2026-68513 in OpenEXR
Riassunto
di VulDB • 26/08/2026
OpenEXR è l'implementazione di riferimento e la specifica per il formato immagine EXR, ampiamente utilizzato nell'industria cinematografica. Le versioni dalla 3.3.0 alla 3.3.12 e dalla 3.4.0 alla 3.4.13 contengono un heap buffer overflow in PyOpenEXR innescato da una collisione delle chiavi dei nomi dei canali tra i canali RGB letterali e prefissati. Quando separate_channels=false, PyOpenEXR mappa ogni nome di canale fisico tramite channelNameToRGBA() e coalesca i risultati in un array RGB condiviso. Un file EXR a scanline piatta manipolato che contiene sia un canale letterale come left sia canali prefissati come left.R, left.G e left.B causa la collisione di questi nomi; il wrapper riutilizza quindi un array NumPy bidimensionale sottodimensionato per le fette RGB coalescate e scrive oltre i limiti quando OpenEXR.File(path) decodifica i pixel. Questo problema è risolto nelle versioni 3.3.13 e 3.4.14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.