CVE-2026-32889

tinytag الإصدار 2.2.0

يحتوي الإصدار 2.2.0 من tinytag على ثغرة تسمح للمهاجم الذي يمكنه تزويد ملفات MP3 للتحليل بتشغيل حلقة لا تنتهي أثناء قيام المكتبة بتحليل إطار ID3v2 SYLT (كلمات الأغاني المتزامنة). في عمليات النشر على جانب الخادم التي تقوم تلقائيًا بتحليل الملفات التي يزودها المهاجم، يمكن لملف MP3 واحد بحجم 498 بايت أن يتسبب في توقف عملية التحليل عن إحراز أي تقدم وبقاءها في حالة «مشغولة» حتى يتم إنهاء العملية أو العملية الفرعية. السبب الجذري هو أن الدالة parse synced lyrics تفترض أن الدالة find string end pos تُرجع دائمًا موضعًا أكبر من الإزاحة الحالية، وهو افتراض خاطئ في حالة عدم وجود علامة إنهاء السلسلة في محتوى الإطار المتبقي. يتضمن مسار الاستدعاء المعرض للخطر TinyTag.get و load و parse tag و parse id3v2 و parse frame و parse synced lyrics و find string end pos. تم تقديم دعم تحليل SYLT في الإصدار 2.2.0.

قم بالتحديث إلى الإصدار 2.2.1 أو أحدث لحل هذه المشكلة.