PT-2026-25979
CVE-2026-32256
·
تاريخ النشر
2026-03-17
·
تاريخ التحديث
2026-03-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات music-metadata الأقدم من 11.12.3
الوصف
music-metadata هو محلل بيانات وصفية لملفات الوسائط الصوتية والمرئية. يمكن أن يدخل محلل ASF الموجود داخل music-metadata، وتحديدًا الدالة
parseExtensionObject() في lib/asf/AsfParser.ts:112-158، في حلقة لا نهائية عند معالجة كائن امتداد رأس ASF يحتوي على كائن فرعي بقيمة objectSize تساوي 0. يحدث هذا لأن الدالة ignore() الموجودة داخل أداة تحليل الرموز (tokenizer) تقبل القيم السالبة دون التحقق من صحتها، مما يؤدي إلى إعادة قراءة رأس ملف بحجم 24 بايت بشكل مستمر. الطرق المتأثرة هي parseFile() وparseBuffer(). يُقدَّر أن حوالي 2.2 مليون عملية تنزيل أسبوعية من npm قد تتأثر بهذا الخلل. يمكن لملف .asf مصمم خصيصًا بحجم 100 بايت أن يتسبب في توقف التطبيقات التي تستخدم parseFile() أو parseBuffer() إلى أجل غير مسمى. لا تتأثر الدالة parseStream() لأنها تستخدم تطبيقًا مختلفًا لـ ignore() يطلق استثناء RangeError.التوصيات
يجب تحديث الإصدارات الأقدم من 11.12.3 إلى الإصدار 11.12.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾