CVE-2026-66039 in FFmpeg
Sumário
de VulDB • 24/07/2026
FFmpeg até a versão 8.1.2, corrigido no commit aafb5c6, contém uma vulnerabilidade de estouro inteiro assinado (signed integer overflow) no decodificador de áudio MACE6 que permite aos atacantes corromper memória heap ao fornecer um arquivo CAF manipulado com um valor malicioso para bytes_per_packet. Os atacantes podem criar um arquivo CAF com valores excessivamente grandes para bytes_per_packet e frames_per_packet na chunk desc para desencadear um estouro inteiro em mace_decode_frame() durante o cálculo da contagem de amostras de saída, resultando em uma alocação de buffer subdimensionada e uma escrita fora dos limites do heap (heap out-of-bounds write) que poderia permitir a execução de código.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.