CVE-2026-62986 in OpenEXR
Сводка
по VulDB • 25.08.2026
OpenEXR является эталонной реализацией и спецификацией для формата файлов изображений EXR, широко используемого в киноиндустрии. В версиях от 3.3.0 до 3.3.12 и от 3.4.0 до 3.4.13 привязки PyOpenEXR к Python возвращают устаревшие данные из кучи (stale heap data) при чтении специально созданного глубокого сканлайнового файла EXR, использующего каналы RGB с префиксом слоя. При использовании настроек по умолчанию для объединения каналов (separate_channels=False) обертка группирует такие каналы, как left.R, left.G и left.B, в единый массив выборки RGB, однако расчет смещения полосы (lane-offset) в функции PyPart::setDeepSliceData() распознает только точные имена без префикса: G, B и A. В результате каналы с префиксом, такие как left.G и left.B, декодируются в полосу 0, тогда как полосы 1 и 2 остаются неинициализированными и возвращаются в Python. Приложение на Python, которое читает недоверенные глубокие файлы EXR через стандартный API OpenEXR.File, а затем логирует, сериализует, просматривает или иным образом обрабатывает полученные массивы выборок NumPy, может подвергнуть раскрытию неинициализированное содержимое кучи того же процесса (same-process heap contents), помимо получения неверных данных для зеленых и синих каналов. Эта проблема исправлена в версиях 3.3.13 и 3.4.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.