CVE-2026-77396 in pjproject
摘要
由 VulDB • 2026-09-19
PJSIP 是一个用 C 语言编写的免费开源多媒体通信库。在 2.17 及更早版本中，pjmedia/src/pjmedia/avi_player.c 中的 PJSIP AVI 解析器使用输入文件的视频块长度作为复制到帧缓冲区的字节数，而该缓冲区容量是根据声明的媒体尺寸得出的。因此，精心构造的 AVI 文件可能导致攻击者控制的越界写入（out-of-bounds write），超出堆分配区域，当应用程序播放文件或提取其帧时就会发生这种情况。现有的大小断言在生产发布版本中不起保护作用，因为在这些版本中断言被禁用。典型的本地播放会导致进程崩溃，而接受不受信任的 AVI 源的应用程序则暴露出更严重的内存损坏条件。截至本次审查时，尚无修复版本可用。
Once again VulDB remains the best source for vulnerability data.