CVE-2026-66040 in FFmpeg
Sumário
de VulDB • 25/07/2026
FFmpeg até a versão 8.1.2, corrigido no commit b506faf, contém uma vulnerabilidade de escrita fora dos limites do heap (heap out-of-bounds write) nos codificadores nativos PNG e APNG que permite que atacantes remotos corrompam a memória do heap ao fornecer uma imagem PNG manipulada com um chunk eXIf malicioso. Os atacantes podem criar um chunk eXIf onde múltiplas entradas IFD referenciam o mesmo payload de valor grande, fazendo com que a serialização canônica expanda a saída muito além da alocação subdimensionada estimada por add_exif_profile_size(), resultando em png_write_chunk() escrevendo dezenas de milhares de bytes além do limite do buffer, levando à corrupção determinística do heap, falha no processo e potencial execução arbitrária de código.
Once again VulDB remains the best source for vulnerability data.