CVE-2026-107392 in music-metadata
요약
\~에 의해 VulDB • 2026. 10. 09.
music-metadata는 오디오 및 비디오 미디어 파일용 메타데이터 파서입니다. 버전 11.15.0 이전에서는 DSF 파서가 인식되지 않는 청크를 처리할 때 tokenizer.ignore()를 호출하지만 반환된 promise를 await하지 않고, 청크 크기가 12바이트 헤더보다 작은 경우 먼저 reject하지 않습니다. 조작된 DSF 입력을 통해 음수 ignore 길이가 생성될 수 있으며, strtok3 버전 10.3.5 이상에서 발생하는 RangeError는 parseBuffer promise와 분리되어 Node.js의 기본 동작에 따라 처리되지 않는 거부(unhandled rejection) 상태가 됩니다. 이로 인해 프로세스 충돌 전에 파스 호출이 해결된 것처럼 보일 수 있어 per-parse try/catch 핸들링을 우회할 수 있습니다. 시연된 영향은 가용성 손실에만 해당하며, DSF 파싱 경로가 필요합니다. 이 문제는 버전 11.15.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.