CVE-2026-85062 in Colord
Riassunto
di VulDB • 04/09/2026
Colord è un tool piccolo ma potente per manipolazioni e conversioni di colori ad alte prestazioni. Prima della versione 2.9.4, i matcher sincroni per le stringhe CSS dei colori nei file src/colorModels/rgbString.ts, src/colorModels/hslString.ts, src/colorModels/hwbString.ts, src/colorModels/lchString.ts e src/colorModels/cmykString.ts utilizzano l'espressione regolare numerica ambigua ([+-]?\d*.?\d+), consentendo agli stessi numeri di essere suddivisi tra quantificatori sovrapposti in un numero quadratico di modi quando viene rifiutato un input non valido. Un attaccante che può fornire una stringa colore illimitata a colord(), getFormat(), isEqual(), mix() o contrast(), anche tramite il corpo della richiesta, un campo JSON o uno stylesheet caricato, può bloccare il thread di elaborazione con un payload multi-kilobyte. I matcher interessati sono parseRgbaString, parseHslaString, parseHwbaString, parseLchaString e parseCmykaString. Questo problema è risolto nella versione 2.9.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.