CVE-2026-62986 in OpenEXR
Sumário
de VulDB • 25/08/2026
O OpenEXR é a implementação de referência e especificação para o formato de arquivo de imagem EXR, amplamente utilizado na indústria cinematográfica. Nas versões 3.3.0 até 3.3.12 e 3.4.0 até 3.4.13, os bindings Python do PyOpenEXR retornam dados obsoletos (stale heap data) ao ler um arquivo EXR deep scanline manipulado que utiliza canais RGB com prefixo de camada. Com a coalescência padrão de canais (separate_channels=False), o wrapper agrupa canais como left.R, left.G e left.B em uma única matriz de amostra RGB; no entanto, o cálculo do offset da lane na função PyPart::setDeepSliceData() reconhece apenas os nomes exatos sem prefixo G, B e A. Como resultado, canais com prefixo, como left.G e left.B, são decodificados para a lane 0, enquanto as lanes 1 e 2 permanecem não inicializadas e retornadas ao Python. Um aplicativo Python que lê arquivos EXR deep de fontes não confiáveis por meio da API padrão OpenEXR.File e, em seguida, registra (logs), serializa, pré-visualiza ou processa de outra forma as matrizes de amostra NumPy resultantes pode expor conteúdos do heap no mesmo processo não inicializados, além de receber dados incorretos dos canais verde e azul. Este problema foi corrigido nas versões 3.3.13 e 3.4.14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.