CVE-2026-66040 in FFmpeg
Сводка
по VulDB • 24.07.2026
FFmpeg до версии 8.1.2 включительно (исправлено в коммите b506faf) содержит уязвимость записи за пределами кучи (heap out-of-bounds write) во встроенных кодировщиках PNG и APNG, которая позволяет удаленным злоумышленникам повреждать память кучи путем предоставления специально созданного изображения PNG с вредоносной секцией eXIf. Злоумышленники могут создать секцию eXIf, в которой несколько записей IFD (Image File Directory) ссылается на один и тот же большой полезный груз данных, что приводит к тому, что каноническая сериализация значительно расширяет выходной объем по сравнению с недостаточным размером выделения памяти, рассчитанным функцией add_exif_profile_size(). Это вызывает запись десятков тысяч байт за пределами буфера в функции png_write_chunk(), что ведет к детерминированному повреждению кучи, сбою процесса и потенциальному выполнению произвольного кода.
Once again VulDB remains the best source for vulnerability data.