CVE-2026-47247 in libheif
要約
〜によって VulDB • 2026年07月23日
libheifは、HEIFおよびAVIFファイル形式のデコーダおよびエンコーダです。バージョン1.22.0より前では、libheif内の2つのバグが連鎖し、処理されたグリッド画像においてプロセスヒープメモリの内容が見えるピクセル値として漏洩します。攻撃者が作成したAVIF/HEICファイルをWordPress、Sharp/libvips、ImageMagickなどのサーバーサイドのイメージプロセッサにアップロードすることで、ASLRを回避するために十分なライブラリ関数ポインタやその他の秘密情報を含むヒープデータを、パブリックにダウンロード可能なトランスコード済みJPEG/PNG/WebP出力から回復することができます。ローカル攻撃ベクトルも可能です。この問題はバージョン1.22.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.